UWV stelt pas eind 2019 meerfactorauthenticatie in voor online portaal - update

Uitkeringsinstantie UWV zegt pas vanaf 1 november 2019 te kunnen voldoen aan de verplichting van toezichthouder AP om meerfactorauthenticatie in te stellen voor een online portaal met gezondheidsgegevens van werknemers. Na die datum volgt een boete.

In de door de Autoriteit Persoonsgegevens opgelegde last onder dwangsom staat dat het UWV andere oplossingen heeft onderzocht, maar tot de conclusie is gekomen dat aansluiting op eHerkenning de enige reële mogelijkheid is om meerfactorauthenticatie te realiseren. Dat zou samenhangen met de komst van de Wet digitale overheid, waardoor het de bedoeling is dat alle overheidspartijen gebruik maken van de middelen uit deze wet, zoals eHerkenning. Het UWV verwacht dat het pas vanaf 1 november 2019 lukt om inloggen op het werkgeversportaal alleen nog via eHerkenning te laten verlopen. eHerkenning is een inlogmiddel voor ondernemers waarmee op één manier kan worden ingelogd bij alle aangesloten organisaties.

Uiterlijk op 31 oktober 2019 moet het UWV het beveiligingsniveau hebben verbeterd in de vorm van de toepassing van meerfactorauthenticatie, meldt de Autoriteit Persoonsgegevens. Als de uitkeringsinstantie dit dan nog niet op orde heeft, wordt een dwangsom verbeurd. Die bedraagt 150.000 euro per maand met een maximum van 900.000 euro.

De toezichthouder is tot deze stap gekomen op basis van de constatering dat het UWV geen meerfactorauthenticatie toepast bij het verlenen van toegang tot het online werkgeversportaal. Arbodiensten en werkgevers kunnen in dit systeem ziekteverzuimgegevens van werknemers invoeren of bekijken. Het UWV heeft eerder al laten weten dat het meerfactorauthenticatie wil implementeren.

Het gaat bij dit werkgeversportaal om gezondheidsgegevens van heel veel mensen, en bij dergelijke gegevens worden verhoogde eisen gesteld aan de beveiliging van de data. Op internet mogen alleen gezondheidsgegevens worden verwerkt als minstens meerfactorauthenticatie wordt toegepast.

De toezichthouder constateerde overigens al in november 2017 dat de ziekteverzuimgegevens van werknemers niet goed waren beveiligd wegens een gebrek aan two-factorauthenticatie. Het UWV gaf toen aan het portaal vanaf mei 2018 alsnog met meerfactorauthenticatie te beveiligen, maar het lijkt er nu op dat dit pas anderhalf jaar na deze gestelde datum zal worden gehaald.

Update, 15:44 uur: Volgens het UWV is het vanaf 1 november 2018 al mogelijk om met eHerkenning in te loggen op het werkgeversportaal, of in ieder geval ergens in het vierde kwartaal van dit jaar. De datum van 1 november 2019, die in de last on de dwangsom wordt genoemd, komt uit een brief uit 2015. Na 1 november 2019 is er voor partijen geen mogelijkheid meer om op zonder eHerkenning nog in te loggen op het portaal.

Reacties (44)

[Soldaatje]

Over twee dagen zou het moeten werken.
De datum van 1-11-2019 komt uit een brief uit 2015.

[Reactie gewijzigd door Soldaatje op 23 juli 2024 15:50]

[Bazi]

De kop boven het artikel klopt ook niet. Inloggen met eHerkenning, waarmee dus twee-factorauthenticatie mogelijk is, is inderdaad binnenkort mogelijk.
In de brief waar Tweakers op doelt, staat dat het pas vanaf 1 november 2019 verplicht wordt gesteld om eHerkenning te gebruiken.
Een logische verklaring lijkt mij een overgangstijd omdat veel werkgevers (zeker kleine bedrijven) nog geen eHerkenning hebben.

De datum waarop UWV verwacht dat alleen nog door gebruik van eHerkenning kan worden ingelogd op het werkgeversportaal is sinds de eerste uitvraag door de AP bij brief van 25 november 2015 inmiddels opgeschoven naar 1 november 2019.

[Technomania]

Maar als ik wil inloggen in "mijn UWV" kan ik kiezen voor een extra SMS-controle (via DigID). Dat is toch meerfactorauthenticatie?

Of haal ik dingen door elkaar?

@Koekiemonsterr @MadMarky
Bedankt voor uitleg. . Stukje werkgevers had ik gemist.

[Reactie gewijzigd door Technomania op 23 juli 2024 15:50]

[MadMarky]

Dat is alleen maar voor het inloggen via DigiD*. UVW heeft nog veel meer portalen, zoals voor werkgevers wat ook in het nieuwsbericht genoemd wordt.

_{*) Waarbij de SMS optie optioneel is, oftewel compleet waardeloos}

[Aaargh!]

*) Waarbij de SMS optie optioneel is, oftewel compleet waardeloos

Niet compleet waardeloos. DigiD heeft meerdere beveiligheidsniveaus. Met alleen user/pass kom je binnen met niveau 'basis', met SMS code of de DigiD app kom je binnen op niveau 'midden' . Via de app gekoppeld aan je paspoort kom je binnen met niveau 'substantieel'

Een afnemer van DigiD *kan* er voor kiezen bepaalde diensten alleen aanbieden als je een hoger beveiligingsniveau hebt, maar in de praktijk gebeurt dit volgens mij weinig. Als de dienst alleen niveau 'basis' nodig heeft dan heeft het idd geen zin om in te loggen met een hoger niveau.

Bron

[mcDavid]

je kunt op https://mijn.digid.nl/inloggen_voorkeur je standaard beveiligingsniveau instellen. Als je dit op "midden" zet, wordt er altijd een 2FA code of inloggen via de app vereist.

Doe je dit niet, dan is de keuze aan de website in kwestie om beveiligingsniveau "laag" (alleen gebruikersnaam/wachtwoord) of "middel" te gebruiken. Er zijn vast ook richtlijnen dat bepaalde diensten minimaal middel moeten gebruiken.

Het is dus zeker niet compleet waardeloos.

[Reactie gewijzigd door mcDavid op 23 juli 2024 15:50]

[Koekiemonsterr]

Het gaat om het werkgeversportaal, waar werkgevers kunnen inloggen voor invoeren van bijvoorbeeld ziekteverzuimgegevens van werknemers. Dat lijkt me iets ander is dan een eigen account/'mijn UWV'

[Reactie gewijzigd door Koekiemonsterr op 23 juli 2024 15:50]

[Witte]

Beetje vreemd dat dit nog 12 maanden moet duren. Mij lijkt het dat het autorisatie-systeem voor e-Herkenning inmiddels een off-the-shelf module is, net als DigiD voor consumenten. Inbouwen, testen, en uitrollen maar.

[RoestVrijStaal]

Zal wel mee te maken hebben dat het werkgeversportaal een totaal andere (en gegeven de deadline, een sterk verouderde) codebase is.

[stefanhendriks]

nah, het is vooral alles niet technisch wat dit zo lang laat duren. Geld, politiek, andere deadlines, etc.

[ApexAlpha]

Misschien het feit dat deze website wordt gebouwd door 12 aannemers en onderaannemers die ook nog elke paar jaar wisselen en dan elkaar codebase overnemen.

Serieus, wat is die UWV website toch een clusterfuck. Huur 50 ~ 100 senior developers in, zelf bij UWV, geen aanbesteding en bouw www.werk2.nl en kijk hoe ver je komt voordat mensen vrijwillig overstappen.

[stefanhendriks]

haha dat is zeker ook nog een factor. Maar dat is overheidsbreed. Ook de belastingdienst werkt met evenzoveel aannemers. Allemaal intermediairs die 'professionals' leveren. I rest my case.

[Jeroen]

Zo'n instantie gaat dan op zoek naar een partij de deze aanpassing kan maken. Die partijen weten ook dat de UWV dit moet hebben voor een bepaalde datum en hebben misschien een bepaalde servicecontract of garantie lopen op dat systeem waarin staat dat andere partijen er niet zomaar aan mogen werken zonder dat de service/garantie vervalt, of een of andere boeteclausule. Dan kunnen ze inderdaad zeggen 'we hebben een jaar nodig want nu moeten we een heel deel van deze applicatie herschrijven want het is veel te oud, en anders weigeren we het te doen'. En daarbij horen natuurlijk allerlei overleggen, requirements, documenten, handtekeningen van alle lagen van alle betrokken partijen, en dat daarom duurt het wel even.

[TWyk]

De functie wordt al deze week gerealiseerd door het UWV maar pas volgend jaar voor alle werkgevers verplicht.

[RoestVrijStaal]

Qua geld maakt het niets uit. Beiden worden gefinancierd door onze belastingcenten.

Alleen hoop ik wel dat mocht het UWV geld naar de AP moet schuiven, dat bij het AP dan ook meer resources komen om op andere vlakken beter toezicht te handhaven. Het budget van het AP is door de CDA en VVD regeringen altijd laag gehouden.

[Anoniem: 418540]

Enige wat helpt is de directeur en CIO persoonlijk te vervolgen wegens nalatigheid. Nigel verrijkt met verbod op werken in een (semi)- overheid voor de komende 5 jaar.

Met zoiets als wortel, is het zo geregeld.

[PhilipsFan]

Dit. Die boetes schieten voor geen meter op, de ene overheidsinstantie betaalt een boete aan de andere.

Als je bij de overheid werkt, dan wordt er verwacht dat je integer bent en zo weinig mogelijk belastinggeld verspilt. Dus de baas van het UWV heeft z'n werk niet goed gedaan -> eruit. En dan niet doorschuiven naar de volgende overheidsorganisatie, maar gewoon op straat. Hoe moeilijk is dat?

Ik weet het, moeilijk. Helaas.

[Reactie gewijzigd door PhilipsFan op 23 juli 2024 15:50]

[CivLord]

Als je bij de overheid werkt, dan wordt er verwacht dat je integer bent en zo weinig mogelijk belastinggeld verspilt. Dus de baas van het UWV heeft z'n werk niet goed gedaan -> eruit. En dan niet doorschuiven naar de volgende overheidsorganisatie, maar gewoon op straat. Hoe moeilijk is dat?

De baas van het UWV kan enkel roeien met de riemen die hem door de politiek worden aangereikt. Wanneer er jaar na jaar op de uitvoeringskosten wordt bezuinigd en hij daarnaast vanuit de politiek opdracht krijgt om n.a.v. elke Telegraaf kop ad-hoc maatregelen te treffen, dan blijft er geen geld over voor noodzakelijke, maar geen tijd-kritische zaken.
De deadline van de AP heeft ervoor gezorgd dat de meerfactorauthenticatie eindelijk tijd-kritisch is geworden, zodat er geld voor geclaimd kan worden of dat een budgetoverschrijding verantwoord kan worden.

[Kurgan]

En dan niet doorschuiven naar de volgende overheidsorganisatie, maar gewoon op straat.

Dus dan komt hij uiteindelijk toch weer bij het UWV terecht?

Ik vind het wel opvallend dat dezelfde overhead die zo belerend doet over privacy en veiligheid, zelf keer op keer de zaken slecht op orde blijkt te hebben.

[snellie123]

Is het niet een beetje raar als een overheidsinstantie een andere overheidsinstantie een boete geeft? de enige die bovendien de last voelt van deze boete in de belastingbetaler, alhoewel ik het er wel mee eens ben dat de UWV zijn zaakjes op orde moet hebben. Zou echter eerder kijken om de directie aansprakelijk te stellen oid (geen geldboetes maar bijvoorbeeld ontslag)

Belachelijk dat de UWV niet goed met zijn persoonsgegevens omgaat, en dit is al de zoveelste keer...
Vindt dat hier echt meer vanuit hogere overheidsinstanties ingegrepen moet worden om te digitale veiligheid te vergroten.

[CAPSLOCK2000]

Is het niet een beetje raar als een overheidsinstantie een andere overheidsinstantie een boete geeft?

Nee, dat is heel normaal.
Als een kind voor straf geen zakgeld krijgt, dan blijft het gezin net zo rijk of arm als ervoren. Het kind zal er niet minder om eten. Toch is niet krijgen van zakgeld heel vervelend voor het kind.

de enige die bovendien de last voelt van deze boete in de belastingbetaler, alhoewel ik het er wel mee eens ben dat de UWV zijn zaakjes op orde moet hebben.

Het UWV heft geen belasting, die kunnen niet even een extra zak geld tevoorschijn toveren.

Zou echter eerder kijken om de directie aansprakelijk te stellen oid (geen geldboetes maar bijvoorbeeld ontslag)

In praktijk werkt dat niet omdat er dan niemand meer directeur wil worden van een afdeling waar het niet zo goed mee gaat. De beste mensen zorgen dan dat ze een veilig baantje krijgen op een afdeling waar niks mis kan gaan, en voor de moeilijke afdelingen blijven alleen de kneuzen over die niks te verliezen hebben.

Belachelijk dat de UWV niet goed met zijn persoonsgegevens omgaat, en dit is al de zoveelste keer...
Vindt dat hier echt meer vanuit hogere overheidsinstanties ingegrepen moet worden om te digitale veiligheid te vergroten.

Ik ben het principieel met je eens, maar praktisch gezien weet ik hoe moeilijk en duur het is om het goed te doen. Als "wij" steeds weer bezuinigen op het UWV dan is het niet meer dan logisch dat de techniek achter loopt en er problemen ontstaan.

Los van de toestand bij het UWV is IT overal moeilijk en duur.
Ik heb een paar MFA-projecten van dichtbij gezien en die liepen allemaal tegen enorme beperkingen op. Er is geen one-size-fits-all systeem dat je universeel kan inzetten.
Als je from scratch een nieuw systeem mag bouwen dan kom je een heel eind, maar bestaande systemen omkatten om MFA te doen kan heel vervelend zijn. Zeker als je een Single Sign On(achtige) oplossing wil hebben waarbij je authenticatie centraal kan regelen.

Ik vind het ook belachelijk dat het UWV z'n zaakjes niet op orde heeft, maar ik vind de hele IT-industrie belachelijk slecht om gaan met beveiliging. Het UWV heeft tenminste een plan voor MFA, dat kunnen de meeste bedrijven nog niet zeggen.
Mijn voorspelling is overigens dat ze deze deadline ook niet gaan halen, en dat die deadline is gebaseerd op de eisen van de AP, niet op de toestand van de techniek.

[Anoniem: 882701]

Heel leuk die boete, maar wie betaalt die uit eindelijk?

[WillySis]

Jij?

En ik ook een beetje! Uiteindelijk zijn het gewoon onze belastingcenten.

[CAPSLOCK2000]

Je denkt toch niet dat je de eerste bent die op dat idee is gekomen

De overheid is enorm groot en verdeeld. Er is niet een grote schatkist waar iedereen vrij uit kan putten. Iedere afdeling krijgt z'n budget en zal daar zo veel mogelijk mee moeten doen.

Het is niet anders dan bij een bedrijf, als een bedrijf een boete krijgt hoeft de directeur die niet uit eigen zak te betalen. De straf is dat de directeur naar tal van vervelende vergaderingen moet om uit te leggen wat er is gebeurd en wat er gedaan wordt om het te verbeteren, en als dat geen goed verhaal is dan kan die directeur ander werk gaan zoeken. Met een beetje pech gaat je hele begroting naar de knoppen door zo'n boete en moet er een hoop werk opnieuw gedaan worden.

Natuurlijk is het in de praktijk wat minder rechtlijnig en wordt sommige kneuzen een hand boven het hoofd gehouden door hun vriendjes, maar het is een beetje naief om te denken dat je

[mongkut]

Deze Uitermate Waardeloze Vereniging moet eens goed kijken naar andere verengingen waar ze wel met beide voeten in de samenleving staan.
Van deze vereniging hoor ik al minimaal 10 jaar alleen maar ellende.
Als een commercieel bedrijf dit doet is het naar een jaar donker daar, en wij burgers deze wan toestanden maar blijven financieren.

[Wouterkaas]

Los van dat er van alles (terecht!) aan te merken is op het UWV, slaat het natuurlijk als een tang op een varken om een uitkeringsinstantie met een commercieel bedrijf te vergelijken.

[WillySis]

In de tijd van privatisering en aanbesteding zou je een overheidsdienst best als commerciële eenheid mogen zien.
Het UWV weet zelf dat ze slecht presteren. Van alle niet zichtbare zieken wordt (volgens hun eigen blad) in eerste instantie een aanvraag voor een WIA uitkering in 70% van de gevallen geweigerd. In de beroepsprocedure krijgt iets meer van de aanvragers alsnog een uitkering toegezegd. Rede: de ambtenaren die de eerste beoordeling moeten doen hebben veel te weinig tijd. In de beroepsprocedure kan men wel voldoende tijd nemen. Als zieke wordt je zo met een hoop extra stress opgezadeld.
Zelf heb ik twee keer die molen moeten doorlopen en ik kan je verzekeren dat de extra stress niet bevorderlijk is voor je gezondheid.
Binnen een normaal bedrijf zal men zorgen dat de eerste procedure goed op orde is, om een dure tweede procedure te voorkomen.

[debom]

Commercieel bedrijf of overheidsinstantie, het blijft natuurlijk van de zotte dat dit niet eerder kan worden geregeld. Dit ruikt naar complete incompetentie vanuit het UWV/overheid. Zoals met veel overheidsprojecten zal er wel iemand dwarsliggen omdat zijn idee niet wordt aangenomen. Helaas veel te vaak meegemaakt.

[stefanhendriks]

Hoezo? Er zijn verschillen , zeker, maar ook overeenkomsten. En een van de overeenkomsten is dat een organisatie geld uitgeeft en binnen krijgt. Een UWV die in zekere zin 'stabiliteit' heeft (geen druk van de markt) komt ermee weg de boel zo te laten lopen. Een bedrijf wat dit doet zal failliet gaan simpelweg omdat de feedback tussen 'presteren' en 'geld verdienen' veel strakker zit.

[TaranQQ]

Tja het is dan ook .... de overheid

[MrMonkE]

Ja, het begint na 20-25 jaar een beetje beschamend te worden deze hele farce.
Het is tijd voor draconische maatregelen.

[WillySis]

Na de belastingdienst geeft nu ook het UWV (opnieuw) een brevet van onvermogen af.
De overheidsdiensten lijken zich boven de wet te willen stellen en de privacy van de burgers helemaal niet belangrijk te vinden.
Het UWV heeft kennelijk een besluit genomen over een nieuwe vorm van beveiliging, maar omdat die nog in ontwikkeling is, stellen ze de invoering gewoon uit. Er zijn genoeg alternatieven die veel sneller (eventueel tijdelijk) gebruikt kunnen worden. Toch wil men nog eens minimaal een jaar een jaar wachten met de invoering van de verplicht gestelde beveiliging.
Met gebruikersnamen en wachtwoorden zijn hele volksstammen nog steeds erg laks. Daardoor kunnen veel meer mensen je ziekte verzuim bekijken dan nodig. Bij ons weet bijvoorbeeld iedereen alle wachtwoorden. Even inloggen bij het UWV kunnen we dus allemaal.

De overheidsdiensten zijn de eerste die op de hoogte zijn van nieuwe ontwikkelingen in de wetgeving, maar telkens de laatste die de wetgeving ook daadwerkelijk implementeren. Verwacht men dan dat men (de gewone man/vrouw) nog vertrouwen in de overheid heeft?

Dit soort laksheid verdient een paar stevige kamervragen !

[CAPSLOCK2000]

Na de belastingdienst geeft nu ook het UWV (opnieuw) een brevet van onvermogen af.

Met het onvermogen ben ik het eens, maar ik weet niet hoe het beter kan onder de huidige politiek en in de huidige markt. Er wordt van alle kanten bezuinigd, nogal wiedes dat er geen geld is voor goede IT.

De enige weg vooruit die ik zie is er een bak geld tegen aan gooien en een hele hoop goede IT'ers in vaste dienst nemen, in plaats van alles uit te besteden aan de goedkoopste marktpartij.

Het UWV heeft kennelijk een besluit genomen over een nieuwe vorm van beveiliging, maar omdat die nog in ontwikkeling is, stellen ze de invoering gewoon uit.

Ik vind het een verstandig besluit. Ik geloof niet dat het UWV zelf in staat is om een goed universeel MFA-systeem te ontwikkelen. Beveiliging is moeilijk, dat moet je niet zelf willen doen.

Er zijn genoeg alternatieven die veel sneller (eventueel tijdelijk) gebruikt kunnen worden.

Welk alternatief heb jij in gedachte?
Ik kan niks bedenken wat ik binnen een jaar kan uitrollen in een complexe omgeving. Een beetje houtje-touwtje aanklooien zal wel lukken, maar alleen al procedures in stellen om met verlies van tokens om te gaan lijkt me een enorm project.

Ik zou graag willen dat ze onmiddellijk een goed systeem invoeren, maar volgens mij is dat een onmogelijke vraag.

[WillySis]

Je zou bijvoorbeeld een schil om het geheel heen kunnen bouwen waarmee je met DigiD (met SMS controle) kan inloggen en dan pas in bij het portal kan. Daar moet je dan nog een keer inloggen.
Probleem is dan alleen dat je extra accounts moet gaan maken voor de schil. Koppelen met de verzuim-accounts zou ideaal zijn, maar niet strikt noodzakelijk. Waterdicht is het niet, want dan kan iedereen met toegang tot het verzuimportaal ook inloggen bij anderen waarvan ze gebruikersnaam en wachtwoord kennen. Onbevoegden kunnen er dan niet meer in. Ik kan dan ook niet meer snuffelen.

De AP zou dit als voorlopige oplossing accepteren (er zijn meer bedrijven die een portal op een vergelijkbare manier afschermen).

[DropjesLover]

Als de uitkeringsinstantie dit dan nog niet op orde heeft, wordt een dwangsom verbeurd. Die bedraagt 150.000 euro per maand met een maximum van 900.000 euro.

Oftewel, er gewoonweg niet aan voldoen is nog steeds goedkoper dan het wel inbouwen...

[Daoka]

Ik ga er van uit dat het uiteindelijk toch moet maar dan zijn ze wel de 150.000 tot 900.000 extra kwijt.

[keesdewit]

Binnen een maand moet je normaal gesproken wel een aansluiting als dienstverlener op eHerkenning voor elkaar kunnen krijgen. Hoezo gaat daar dan in dit geval een heel jaar overheen?

[Bazi]

Omdat het alleen gaat over het verplicht stellen van het inloggen met eHerkenning. De mogelijkheid zit er vanaf donderdag in. En dan is er een overgangstijd van een jaar, zodat alle werkgevers hun eHerkenning kunnen gaan regelen.

[keesdewit]

Nou, dat klinkt als een prima plan. Het artikel gaf vóór de laatste update een ander idee. Nu is ook toegevoegd dat het inloggen vanaf donderdag mogelijk is.

Eigenlijk zijn ze dus bijna zover en zijn ze zo vriendelijk om ondernemers de tijd te geven om er aan te voldoen. Dat is een iets andere uitleg als in het smeuïge artikel.

[theduke1989]

heeft eerder met de management te maken dan met de codebase.

Als je nu al kan concluderen wanneer je het gaat invoeren, dan heb je alles al wel bij elkaar gehaald qua information.

dus meer iets met management wat het tegenwerkt?