Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en de Jeugdwet in verband met digitale identificatie en authenticatie in de zorg (36702)

Heel scherp, voorzitter. Inderdaad: het blokje inlogmiddelen. Ik begin met de vraag van de heer Poortman: of het klopt dat elk inlogmiddel eerst officieel erkend moet worden. Ja, het klopt dat een middel eerst goedkeuring moet krijgen voordat het wordt toegelaten. Die wordt verleend op basis van erkenning van het middel door de Nederlandse overheid, op EU-niveau of door te voldoen aan die NEN 7518-norm. Dan vroeg de heer Poortman ook of een publieke organisatie ook een inlogmiddel kan maken, en of dat niet een goede terugvaloptie zou kunnen zijn. Ja, inderdaad, een publieke organisatie kan een inlogmiddel maken, zoals dat ook is gebeurd met DigiD. De EDI-wallet, die op Europees niveau werd ontwikkeld, is inmiddels ook een publieke organisatie. Dus dat kan. Tegelijkertijd denk ik dat het voordelen heeft als ook de markt zich daarin kan mengen. Dat vraagt alleen wel goede waarborgen voor de veiligheid, met name omdat het natuurlijk gaat om hele kwetsbare gegevens. De heer Vervuurt vraagt of ik kan garanderen dat de continuïteit van DigiD in de zorg nooit in het geding komt. Nou kan ik veel, maar ik kan niet garanderen dat die continuïteit nooit in het geding komt, ondanks de hoge eisen aan en de beschikbaarheid van de DigiD-dienstverlening. Daarom heb ik het Dezi-stelsel wel op basis van een multimiddelenoplossing opgezet. Daar refereerde ik net al even aan in die casus van die huisarts: als die vastloopt kan die ook nog steeds op een andere manier inloggen. De heer Vervuurt vraagt of ik bereid ben om over die continuïteit van die inlogmiddelen in gesprek te treden met de staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties om in die context de beschikbaarheid van de DigiD te verbeteren. Het korte antwoord is ja. Hij vraagt ook of de acceptatieplicht in artikel 15 betekent dat een zorgverlener elk goedgekeurd inlogmiddel kan gebruiken ongeacht het besturingssysteem. Ook daarop is het antwoord ja. Dan vraagt de heer Vervuurt hoe ik ga voorkomen dat softwareleveranciers die keuzevrijheid voor de goedgekeurde inlogmiddelen via de achterdeur beperken, bijvoorbeeld met software die alleen werkt op de systemen van grote Amerikaanse techbedrijven. Dat noemde u volgens mij ook in uw voorbeeld. Daar zijn we op aan het testen. Het is van belang dat alle inlogmiddelen moeten voldoen aan de eisen van betrouwbaarheidsniveau "hoog" zoals de eIDAS dat stelt. Die eisen schrijven geen technische implementatie voor en zijn daarmee in principe onafhankelijk van welk systeem wordt gebruikt. We kunnen dus maar beperkt sturen op zo'n beweging in de markt, maar wel zijn zorgaanbieders onder de NEN 7510 verplicht voortdurend risico's in beeld te hebben, waaronder dus ook die op de vendor lock-in — zo noemen we dat — in constructies. Mevrouw Wendel vraagt hoe deze wet nou uitpakt voor uitzendkrachten. Kunnen die ook gemakkelijk inloggen als ze last minute ingevlogen worden? Ja. Dezi is juist ook ingericht op die flexibele inzet. Een zorgmedewerker registreert zich al vooraf in het Dezi-register. Zodra die zorgaanbieder de werkrelatie vastlegt, kan de medewerker inloggen met een goedgekeurd inlogmiddel. De multimiddelenstrategie ondersteunt die flexibiliteit doordat zorgmedewerkers een keuze hebben uit goedgekeurde inlogmiddelen. Zo is er dus ook echt maatwerk mogelijk. Dan ten slotte de vraag van de heer Poortman wat de minister concreet gaat doen om te stimuleren dat Nederlandse of Europese bedrijven deze inlogmiddelen gaan bouwen. Daarvoor voer ik ook pilots uit. Daar doen zorgaanbieders aan mee, leveranciers van zorgapplicaties en leveranciers van inlogmiddelen. Die kunnen daarmee die zaken ook in de praktijk testen en geschikt maken voor gebruik binnen het Dezi-stelsel. Daarnaast start ik een stimuleringsregeling voor ICT-leveranciers, waar ook de leveranciers van inlogmiddelen onder vallen.