Nederlandse gemeenten moeten eind 2017 tls en dnssec hebben geïmplementeerd op hun mailservers. Dat schrijft minister van Binnenlandse Zaken Ronald Plasterk naar aanleiding van Kamervragen over slecht beveiligde e-mail van gemeenten.
Gemeenten moeten nu al bij activering van een nieuwe mailserver de beveiligingsmaatregelen ingebouwd hebben volgens de brief van de minister. Standaarden zoals tls en dnssec staan op de zogenaamde 'pas-toe-of-leg-uit'-lijst. Alles wat op deze lijst staat, is verplicht bij aanschaf, aankoop, aanbesteding of ontwikkeling van een nieuwe dienst.
Uit onderzoek van het tijdschrift Binnenlands Bestuur bleek begin juni dat Nederlandse gemeenten hun e-mail slecht beveiligen. Toen bleek dat slechts drie van de vijftig onderzochte gemeenten standaarden toepassen, zoals dkim en spf. Alleen Den Haag, 's-Hertogenbosch en Woerden voldeden aan de standaarden.
Met dmarc kan nagegaan worden of een bericht inderdaad van het betreffende domein verzonden mocht worden. Spf kijkt of de servers van het domein wel berichten mochten verzenden. Met dkim kan gecheckt worden of inhoud van een e-mail tussentijds is gewijzigd. De eerstgenoemde beveiligingsmethode staat nog niet op de pas-toe-of-leg-uit-lijst, maar is wel kandidaat om opgenomen te worden. Dit geldt ook voor starttls in combinatie met dane. Mogelijk worden deze nog dit jaar op de lijst gezet.
Zonder de standaarden is het bijvoorbeeld mogelijk voor kwaadwillenden om zich voor te doen als een gemeente omdat ze e-mail namens een gemeente kunnen versturen.
In de brief deelt de minister de mening van het bericht uit Binnenlands Bestuur, namelijk dat 'Gemeentelijke e-mail gênant slecht beveiligd is', niet. Dit omdat de 'volgorde van implementatie van maatregelen is gebaseerd op een lokale risicoafweging waar het college van B&W voor verantwoordelijk is'.