De keuze tussen EH2, EH3 en EH4 lijkt een technisch detail. In de praktijk bepaalt dit niveau of een aanvraag juridisch geldig is, of het MKB überhaupt in kan loggen, en of jouw organisatie achteraf kan aantonen wie de aanvraag heeft ingediend. In deze blog: hoe je de juiste keuze maakt.
eHerkenning is de digitale identiteit voor bedrijven. Net zoals DigiD voor burgers, alleen dan met meerdere betrouwbaarheidsniveaus afgestemd op de gevoeligheid van de aanvraag. Hoe gevoeliger de gegevens of het besluit, hoe hoger het niveau dat je als bestuursorgaan minimaal vraagt.
De niveaus zijn gebaseerd op de Europese eIDAS-verordening: EH1 (laag, in de praktijk niet meer in gebruik), EH2, EH2+, EH3 en EH4. Voor de meeste formulieren gaat de keuze tussen EH2, EH3 en EH4. EH2+ komt nog zelden voor en behandelen we daarom in deze blog niet apart.
EH2 vraagt identificatie met een gebruikersnaam, wachtwoord en eenmalige code via sms of app. Vergelijkbaar met de inlog bij veel zakelijke portalen. Voldoende voor aanvragen waarbij de gegevens niet bijzonder gevoelig zijn en de financiële of juridische impact beperkt is.
EH3 voegt een extra factor toe: een hardware token of een gecertificeerde authenticator-app. Dit niveau is verplicht voor de meeste belastinggerelateerde aanvragen en voor alle aanvragen waarvoor de wet 'voldoende waarborg' voor de identiteit eist.
EH4 is het hoogste niveau en vereist een chipkaart of gekwalificeerde authenticator, plus persoonlijke verificatie bij uitgifte. Vrijwel uitsluitend gebruikt voor zeer gevoelige aanvragen, denk aan gezondheidsdata of grote financiële transacties met juridische binding.
Voor sommige aanvragen ligt het niveau wettelijk vast. Belastingaangiften en BTW-aangiftes vragen standaard om EH3. Aanvragen die onder de Wet Identificatie bij Dienstverlening vallen, vragen vaak ook minimaal EH3.
Voor andere aanvragen schrijft de wet geen specifiek niveau voor, maar wel dat het niveau 'passend' moet zijn bij de aard van de aanvraag. Dat oordeel ligt bij het bestuursorgaan. In de praktijk zien we drie vuistregels die goed werken: voor laagdrempelige meldingen of informatieverzoeken volstaat EH2, voor formele aanvragen met juridisch gevolg gebruik je EH3, en voor aanvragen waar de wet expliciet om gekwalificeerde identificatie vraagt ga je naar EH4.
Een hoger niveau is niet gratis voor de aanvrager. EH2 kost een ondernemer enkele euro's per maand, EH3 al snel tien tot vijftien euro per maand, en EH4 fors meer. Het hoogste niveau vereist daarbij persoonlijke uitgifte bij een leverancier, wat tijd en moeite kost.
Voor kleine ondernemers en zzp'ers kan dit een drempel zijn. Een gemeente die EH4 vraagt voor een vergunningaanvraag die wettelijk met EH3 toe zou kunnen, sluit een deel van de doelgroep effectief uit. Dit raakt ook aan de digitale zorgplicht onder de WMEBV: het kanaal moet passend zijn, en een onnodig hoog niveau is dat niet.
In gesprekken met gemeenten en uitvoeringsorganisaties zien we drie keuzes die later in de praktijk problemen geven.
Overal hetzelfde niveau toepassen.
Sommige organisaties kiezen voor alle formulieren EH3 of zelfs EH4, vanuit het idee dat hoger altijd veiliger is. Dat klopt op papier, maar zorgt voor onnodig hoge drempels bij eenvoudige formulieren en extra kosten voor de aanvrager.
Te laag inschalen op vergunningaanvragen.
Andersom komt ook voor: een formele vergunningaanvraag op EH2, omdat 'het toch maar een vergunning is'. Bij bezwaar of beroep blijkt dan dat de identiteit van de aanvrager onvoldoende is vastgesteld. Vernietiging van het besluit ligt op de loer.
Het niveau achteraf niet kunnen aantonen.
Het niveau waarop iemand zich heeft geïdentificeerd moet bij de aanvraag worden gearchiveerd. Niet alleen het feit dát er met eHerkenning is ingelogd, maar ook welk niveau. Sommige oudere formulieroplossingen leggen dit niet vast. Bij een klacht of bezwaarprocedure kun je dan niet aantonen welk niveau is gebruikt.
De Formulierenserver ondersteunt alle betrouwbaarheidsniveaus van eHerkenning: EH2, EH3 en EH4. Per formulier stel je het minimaal vereiste niveau in, en het identificatiebewijs inclusief het gebruikte niveau wordt automatisch gearchiveerd bij de aanvraag. Dat voldoet aan WMEBV-verplichting 5 én geeft je bij bezwaarprocedures een sluitend dossier.
Wil je sparren over welk niveau bij welk formulier past in jouw organisatie? Plan een gesprek met een Seneca-adviseur. We doorlopen samen je formulierenlandschap en bepalen waar je nu te hoog, te laag of precies goed inschaalt.