Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Als keymanager bij een grote financiële instelling ben ik verantwoordelijk voor de lifecycle van vele toplevel cryptografische sleutels. Onder lifecycle versta ik het genereren, opslag, distributie, installatie, activeren, integriteitbewaking, vervanging, deactivering en uiteindelijk het vernietigen van de sleutel. Het is over deze laatste fase dat ik een vraag heb: hoe lang bewaar je een sleutel nadat deze is gedeactiveerd en tot vernietiging kan worden overgegaan.

Antwoord: Ik krijg regelmatig vragen als deze. Niet alleen over sleutels, maar ook over beveiligingsprotocollen voor bv. klanten- of patiëntendossiers en camerabeelden, regels voor toezicht op werknemers en ga zo maar door.

Het lastige is alleen: zulke specifieke regels zijn er niet. De wet houdt het vaak bij korte zinnen als "veilig", "te verwachten zorgvuldigheid" (due diligence) of "passende technische en organisatorische maatregelen", en de implementeerder moet dan zelf uitzoeken wat een passende maatregel kan zijn. We hebben daar ooit discussie over gevoerd. Uit die discussie kwamen wel enkele pointers naar richtsnoeren en modeluitwerkingen, maar het blijft afhangen van de precieze situatie hoe je het moet aanpakken.

Specifiek voor sleutelmateriaal ken ik geen wettelijke regels, ook niet als we het beperken tot financiële instellingen. Ja, voor uitgeven en certificeren van elektronische handtekeningen zijn er enkele documenten van het College van Belanghebbenden. Maar dat gaat over het aanbieden van certificaten aan het publiek, en niet over interne sleutels voor bv. het tekenen van mails of interne akkoorden of autorisaties.

Er zijn natuurlijk allerlei normen en best practices, maar die zijn juridisch niet bindend: je bent niet verplicht op grond van de wet je hieraan te houden. Wel kan het zo zijn dat het binnen je beroepsgroep afgesproken wordt dat je zo gaat werken, en dan zul je dat moeten doen. Ook loop je het risico dat als je niet die normen volgt, je eerder onderuit gaat bij een klacht over onzorgvuldig werken.

Alles bij elkaar niet echt een antwoord op de vraag van de OP, maar ja een juridisch antwoord is er ook niet. Ik vraag me af of dat er zou moeten zijn: willen we wel dat de overheid dwingend voorschrijft dat sleutels volgens NEN norm 1234 gehanteerd worden, of moet je als bedrijf de vrijheid hebben om zelf wat te figuurzagen voor je sleutelbeheer?

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".