Broncode basisregistratie druppelsgewijs vrijgegeven

Aan de de beloofde vrijgave van de broncode van de basisregistratie personen (BRP) zitten de nodige mitsen en maren.

In een brief aan de Tweede Kamer schrijft minister Plasterk wanneer en onder welke voorwaarde de broncode wordt vrijgegeven. Dat blijkt een stuk omslachtiger dan verwacht.

Over waarom de code vrij te gevn is de minister enthousiast: “Het vrijgeven van de broncode van software is een goede manier om transparant te zijn over de kwaliteit van de software en is ook een goede manier om een ‘gratis kwaliteitscontrole’ te organiseren. Daarom stel ik de broncode graag beschikbaar.”

Hij het vrijgeven acht hij twee zaken van groot belang. “Aan het vrijgeven van de code kunnen, indien het niet weloverwogen gebeurt, risico’s zijn verbonden. Om de beveiliging van de BRP en de daarin in de toekomst opgeslagen persoonsgegevens te waarborgen, zal het vrijgeven van de broncode van de BRP daarom onder voorwaarden gebeuren.”

Daarnaast wordt de code in stappen vrij gegeven. De volgorde waarin de onderdelen van de BRP beschikbaar komen is vastgelegd in het opleveringsplan van de BRP.

Hierdoor zal de eerste oplevering van een versie van de broncode van de Basisregistratie naar verwachting begin 2015 plaatsvinden. De onderdelen van de code die de toegang tot c.q. de beveiliging van de Basisregistratie Personen betreffen worden om redenen van veiligheid niet vrijgegeven.

Het ministerie zal met partijen die de code willen inzien een overeenkomst sluiten rond “responsible disclosure”. Die overeenkomst komt erop neer dat partijen die de broncode willen inzien met BZK een periode overeenkomen (variërend van een paar weken tot enige maanden) waarin

• de partijen die de broncode inzien kwaliteitsproblemen en kwetsbaarheden melden;
• de ontwikkelaars dergelijke gesignaleerde problemen en kwetsbaarheden verhelpen.

Plasterk laat met deze brief veel ruimte voor vragen en onduidelijkheid. Zo kan nu bijna alles onder het kopje ‘geheimhouding’ worden geschoven, waardoor niemand wat heeft aan de beschikbare broncode. Verder is onduidelijk waarom dat wat al af is (32% volgens de laatste berichten) pas in 2015 wordt vrijgegeven.