Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 22 september 2008
Op 11 juli 2008 heb ik u, op uw verzoek om nadere toelichting vanuit het AO van 19 maart, schriftelijk geïnformeerd over de chiptechnologie in relatie tot de toegangspassen (Kamerstuk 31 200 VIII, nr. 74).
Met deze brief informeer ik u over de verdere voortgang van het programma Rijkspas.
De Rijkspas is een complex project waarin kwaliteit voorop staat. Om die kwaliteit te borgen zijn er aanvullende onderzoeken nodig geweest. Deze onderzoeken licht ik in deze brief toe. Daarnaast is ook het aanbestedingstraject voor de centrale pasproductie opgezet. Ook daarover geef ik u meer informatie. Insteek voor de aanpak van het hele project is dat de kwaliteit prevaleert boven doorlooptijd en dat de ambitie om de eerste Rijkspas in 2008 uit te reiken om die reden niet gehaald wordt.
Zoals ik tijdens het AO van 19 maart (Kamerstuk 31 200 VIII, nr. 57). aankondigde heeft er onderzoek plaatsgevonden door enerzijds TNO en anderzijds PriceWaterhouseCoopers in combinatie met de Universiteit Nijmegen naar de veiligheid van de toe te passen chiptechnologie. Deze onderzoeksresultaten zijn begin juni aan mijn ministerie opgeleverd. De verstrekte informatie gaf aanleiding om TNO te verzoeken een nadere detaillering en onderbouwing van het onderzoek aan te brengen. Recentelijk is deze aanvullende informatie beschikbaar gekomen. Mede op advies van de AIVD heb ik besloten om extra fysieke testen te laten uitvoeren. Dit proces van fysiek testen vindt momenteel plaats en zal naar verwachting in november zijn afgerond.
Aanvullend zal de AIVD vanaf september 2008 nader onderzoek doen naar de soliditeit van de totale keten rondom fysieke toegang. Hierbij dient gedacht te worden aan de infrastructuur en onderdelen zoals card management systemen, toegangcontrole systemen, kaartlezers en bekabeling. De opleverdatum van resultaten van dit onderzoek is nog niet bekend.
Om voortgang in het programma Rijkspas te houden heb ik in juni een Request for information (RFI) voor centrale pasproductie naar 10 marktpartijen gestuurd. De respons van de marktpartijen wordt momenteel verwerkt.
Gepland is om, na overleg met de AIVD in verband met de classificatie van de documentatie binnen het programma, eind september een Request for proposal (RFP) naar de geselecteerde partijen te versturen. In die planning is een respons van marktpartijen op de RFP in november voorzien. Het tijdstip van het definitief gunnen van de opdracht zal mede afhankelijk zijn van de kwaliteit van aanbiedingen van marktpartijen. Het verwervingsproces vindt plaats met assistentie van diverse specialisten binnen de Rijksoverheid en met ondersteuning door de landsadvocaat. De kwaliteit van chiptechnologie staat voorop. Er kan géén gunning plaatsvinden voordat genoemde onderzoeken naar mijn tevredenheid zijn afgerond.
De Request for Proposal betreft de voorgenomen verwerving van, op termijn, maximaal 500 000 Rijkspassen die in omloop zullen worden gebracht ten behoeve van eigen medewerkers, externe medewerkers, leveranciers en bezoekers.
Afgesproken is dat alle Haagse vestigingen van departementen participeren in het programma Rijkspas.
De implementatiesnelheid per departement wordt mede bepaald door de migratie mogelijkheden van organisaties. Omvangrijke organisaties met veel locaties, toegangen, poortjes en kaartlezer zullen meer tijd nodig hebben om te migreren. Vooruitlopend op de beschikbaarheid van de Rijkspas wordt aan de departementen gevraagd een implementatieplan op te stellen. Door middel van een regelmatige uitvraag wordt de voortgang per departement c.q. organisatieonderdeel in kaart gebracht.
Naast kerndepartementen wordt overleg gevoerd met andere rijksoverheidonderdelen om te bezien hoe en op welk moment zij mee kunnen doen met het (normenkader) programma Rijkspas. Directe belangstelling is getoond door o.a. de Belastingdienst, de Justitie keten, SenterNovem en buiten de Rijksoverheid, De Tweede Kamer.
Door de eerder genoemde extra benodigde testen moet de ambitie, de eerste Rijkspas wordt in 2008 uitgereikt, helaas worden bijgesteld. Mijn streven is om dit in april 2009 wel te kunnen doen. De projectstappen verlopen volgens plan, maar er is in een aantal fasen van het project meer doorlooptijd nodig om zorgvuldig en volledig onderzoek te doen.
Vooruitlopend op de beschikbaarheid zal wel gewerkt worden aan implementatieplannen.
Na fase 1, departementale beschikbaarheid van de Rijkspas, kan met de tweede fase, interdepartementaal gebruik ten behoeve van fysieke toegang worden gestart. Er is minimaal 3 maanden nodig om departement overstijgende gebruik te realiseren nadat een departement fase 1 heeft afgerond. Dit heeft te maken met verdere afstemmingsactiviteiten tussen de departementen die voor departementaal gebruik de Rijkspas al inzetten.
Maatregelen tot invoering van de Rijkspas
Departementen hebben extra voorzieningen genomen om de huidige situatie te beheersen en kunnen bij toegenomen dreiging nog aanvullende maatregelen nemen. Het gaat hier om combinaties van technische en organisatorische maatregelen. Zo kan er meer visuele controle worden ingezet, door beveiligingsmedewerkers die fysiek aanwezig zijn bij ingangen van gebouwen, en kunnen procedures rond uitreiken van bezoekerskaarten aangescherpt worden. Ook kan er meer aandacht worden besteed aan zichtbaar dragen van passen en begeleiden van bezoekers van en naar toegangsdeuren van het pand. Ook technisch kunnen er nog aanvullende maatregelen worden genomen. Zo kan de autorisatie verder worden beperkt, de verificatie verder worden uitgebreid met extra gegevens, passen worden voorzien van een kortere toegangsperiode en kunnen maatregelen worden genomen om de (heimelijke) uitleesbaarheid van passen verder te bemoeilijken.
De universiteit van Nijmegen zal in oktober op een congres in Spanje meer uitgebreid in gaan op de veiligheidsrisico’s van de Mifare chip. De rechtbank van Arnhem heeft op 18 augustus 2008 gesteld dat er geen «dringende maatschappelijke noodzaak» is om deze publicatie tegen te gaan. Vanaf dat moment zou er sprake kunnen zijn van invoeren van hierboven genoemde extra maatregelen.
Over de voortgang van het programma Rijkspas zal ik u vanzelfsprekend blijven informeren.