Overheid maakt broncode DigiD openbaar

De broncode van de DigiD-app is maandag 16 januari online gezet. Het kabinet wil broncodes van zijn diensten vaker openbaar maken om burgers te laten zien hoe ze werken.

Gevoelige informatie

De broncode van de DigiD-app is nu als open source beschikbaar op GitHub. Het ministerie zegt hiermee de werking van de app transparant te willen maken. Alleen bepaalde gevoelige informatie, zoals over de infrastructuur, blijft geheim. Logius heeft de code gedeeld. Die organisatie maakt deel uit van de Rijksoverheid en beheert DigiD.

Oudere versie

‘De publicatie is in lijn met het kabinetsbeleid om een transparante overheid te bevorderen. Het gebruik van DigiD blijft voor iedereen veilig en betrouwbaar’, zo laat Logius op haar website weten. Na een verzoek op de Wet Open Overheid (Woo) is Logius gestart met onderzoek naar de openbaarmaking van de broncode van DigiD. Als eerste is nu besloten om een snapshot van de broncode van de DigiD-app openbaar te maken. In een volgende fase wordt onderzocht of ook de DigiD-software die bij Logius draait kan worden vrijgegeven. De broncode die is gepubliceerd is dus van een oudere versie van de app. De beheerder heeft samen met interne en externe deskundigen een onderzoek uitgevoerd op een versie die in september 2022 in de appwinkels stond.

Openbaar maken

Logius zegt ernaar te streven om ook nieuwe versies openbaar te maken. De organisatie is naar eigen zeggen er nu niet klaar voor om dat te kunnen ondersteunen. Nederland werkt al langer aan het openbaar maken van broncodes van overheidsdiensten. Staatssecretaris Raymond Knops riep overheden in 2020 al op om de codes vrij te geven, tenzij er gegronde redenen waren om dat niet te doen.

Fragmenten

Staatssecrearis Alexandra van Huffelen laat in een Kamerbrief over de openbaarmaking van de broncode weten dat enkele fragmenten in de broncode een beveiligingsrisico voor de continuïteit van DigiD kunnen opleveren. Het gaat dan bijvoorbeeld om informatie over de infrastructuur waar DigiD op draait. Deze fragmenten zijn in de gepubliceerde broncode vervangen door de letter ‘S’ (‘security’). Daarnaast zijn fragmenten waaruit persoonsgegevens van ontwikkelaars te herleiden zijn vervangen door de letter ‘P’ (‘privacy’).