Het digitaal verzenden van stukken biedt niet precies dezelfde waarborgen als aangetekende verzending per fysieke post. Toch kennen beide vormen van verzending een vergelijkbaar beschermingsniveau.
Minister Hanke Bruins Slot (Binnenlandse Zaken en Koninkrijksrelaties) stelt dit naar aanleiding van vragen van het Tweede Kamerlid Queeny Rajkowski (VVD). De kwestie kwam aan de orde tijdens een debat over de behandeling van de Wet modernisering elektronisch bestuurlijk verkeer.
Volgens de minister zijn de aangetekende verzending per fysieke post en het elektronisch bestuurlijk verkeer zodanig verschillend dat waarborgen bij de ene vorm niet één-op-één zijn te vertalen naar waarborgen bij de andere vorm. Wel is bij beide vormen voldoende verzekerd dat de verzending van berichten meestal probleemloos zal verlopen. Indien zich onverhoopt een probleem voordoet bij de verzending, zijn er in beide stelsels voldoende aanknopingspunten om te bepalen wat dan de status is van het bericht.
Bij het gebruik van een berichtenbox zijn verzending en ontvangst aan te tonen met behulp van de log-gegevens. De ontvanger krijgt een notificatie als er een bericht voor hem is geplaatst (of het bericht dat notificaties niet meer zijn te bezorgen). Het niet reageren hierop komt voor rekening van de ontvanger.
Bounced
Bij verzending langs een andere elektronische weg krijgt de ontvanger een ontvangstbevestiging als het bericht is aangekomen. Als de overheid via e-mail verzendt, wordt de ontvangst in de regel niet bevestigd, maar als het bericht niet is te bezorgen (‘bounced’), wordt daarvan automatisch bericht ontvangen.
Officiële elektronische berichten van de overheid worden doorgaans geplaatst in de berichtenbox van MijnOverheid. Het tijdstip van ‘bezorgen’ wordt daarbij vastgelegd en is daarmee gemakkelijk te bewijzen. Problemen doen zich voor als iemand te laat in de berichtenbox kijkt en daarmee niet tijdig op het bericht heeft gereageerd. Na het plaatsen van een bericht moet de overheid daarom binnen 48 uur aan de geadresseerde opnieuw een notificatie sturen, tenzij deze heeft laten weten geen notificaties te willen ontvangen.
Bewijslast
Als blijkt dat de notificatie niet is bezorgd, dient deze nogmaals te worden verzonden of spant het bestuursorgaan zich in om geadresseerde langs andere weg te informeren over het niet kunnen bezorgen van de notificatie. Ook moet worden gewezen op de maatregelen die iemand kan nemen om kennisgevingen te ontvangen.
De bewijslast van verzending en ontvangst van berichten met behulp van een berichtenbox berust bij het bestuursorgaan. Geadresseerden hebben recht op een afschrift van de log-gegevens. Als de notificatie niet is verzonden of buiten schuld van de geadresseerde niet is ontvangen, wordt de overschrijding van een termijn de geadresseerde niet tegengeworpen.
Wat dit artikel (abstract) beschrijft is hoe smtp al werkt vanaf dag één, dus decennia. Het illustreert hoe slecht men dit altijd begrepen heeft. “Beide even betrouwbaar” is beter uit te zien als “even onbetrouwbaar”. Volgens het weergegeven algemene principe, van beide systemen, zijn beide niet versleuteld, beide kennen geen direct en hard bewijs op juistheid afzender, en beide kunnen door mensen of systemen tussendoor worden geopend en gecopieerd. En daar kom je op een punt dat hier duidelijk mist, en men kennelijk dus nog steeds niet begrijpt, en dat is dat smtp e-mail allang wel degelijk op al die punten als enige juist kan scoren. Nl. door digitale ondertekening, en versleuteling. Dat vereist een kleine ingreep vooraf bij zenders en ontvangers, maar daarna is alles dicht. PGP en de open source variant GPG doen dat. Al vele jaren. En laten zich prima integreren in de meeste e-mail clients. Daarmee mag de mail vrij over onbeveiligde routes wandelen van zender naar ontvanger. Blijft over het wel/niet aankomen v.d. mail. Dat is in the end gewoon zoals in het artikel beschreven. Maar anders dan gesuggereerd verhoogt dat niets aan echte betrouwbaarheid. Wellicht wil het artikel slechts laten zien dat “aankomst” van post “gelijkwaardig betrouwbaar is”, maar het is zaak dit breder te beschouwen, in het kader van echte veiligheid en betrouwbaarheid. Dat wordt totaal niet belicht, en feitelijk is het artikel daarmee niet meer dan informatieloos.
Was er niet zoiets als X.400?
Volgens het artikel hebben geadresseerden recht op een afschrift van de log-gegevens.
Dan is het wachten op Sywert van Lienden die ergens via China gaat leveren, of onze Fujitsi architect met een blockchain applicatie met logregels als data. Het mag immers wat kosten en endelijk een use case gevonden. Anders Henri misschien met een of ander cloudservice (Logging as a Service ?). Wellicht heeft Jack nog wat te herkauwen dat het met SOA moet ofzo.
En dan Jeroen met zijn technische kijk. Begint met glas dat half betrouwbaar of onbetrouwbaar gevuld is. Misschien kan hij samen Henri ons allen security awarenes bijbrengen. Na ding flof bips, mfa, nu ook smtp, pgp, gpg. gvd !
Die aangetekende post gaat trouwens alleen over de verzending. Met een handtekening geeft de ontvanger aan dat de verzending is binnengekomen. Dattie voor die 100 euro een iphone in het pakket had verwacht ipv een drol, das weer een ander verhaal.
Over dat die notificatie bij niet ontvangen heb ik ook nog wat te zeiken, want it takes two to bounce. Tis ook nog eens discutabel als je net zo lang kunt proberen tot je weet dat de ontvanger repelsteeltje heet.