Besluit programmatuur verkiezingsuitslagen.

Bij Kabinetsmissive van 10 maart 2025, no.2025000505, heeft Uwe Majesteit, op voordracht van de Minister van Binnenlandse Zaken en Koninkrijksrelaties, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit tot wijziging van het Kiesbesluit in verband met de Wet programmatuur verkiezingsuitslagen (Besluit programmatuur verkiezingsuitslagen), met nota van toelichting.

Programmatuur helpt gemeenten en centraal stembureaus om verkiezingsuitslagen tijdig en correct vast te stellen. Met de Wet programmatuur verkiezingsuitslagen wordt de Kiesraad wettelijk verantwoordelijk voor het beheer en de beveiliging van de nieuwe uitslagprogrammatuur. Met de voorliggende wijziging van het Kiesbesluit geeft de regering invulling aan enkele wettelijke eisen aan de uitslagprogrammatuur en het beheer en gebruik daarvan. Dit moet ervoor zorgen dat het gebruik van programmatuur bij de vaststelling van de verkiezingsuitslag betrouwbaar, veilig, transparant en controleerbaar is.

De wet gaat uit van een centraal ontsloten uitslagprogrammatuur, al is bij nota van wijziging ook de mogelijkheid geopend de programmatuur decentraal te ontsluiten. Ook het ontwerpbesluit laat die laatste mogelijkheid open. De verantwoordelijkheden en bevoegdheden van de Kiesraad als beheerder en van de gebruikers zijn volgens de regering in beide gevallen hetzelfde.

De Afdeling advisering van de Raad van State merkt echter op dat wanneer er voor een decentrale opzet wordt gekozen, de Kiesraad niet de mogelijkheid heeft om de betrouwbare werking en de beveiliging van de uitslagprogrammatuur op afstand te monitoren en in te grijpen als daar noodzaak toe is. Bovendien zijn er dan geen werkbare terugvalopties in geval van problemen met de programmatuur. De toelichting op het ontwerpbesluit gaat onvoldoende in op de gevolgen van de decentrale opzet en de Afdeling adviseert dat alsnog te doen.

Verder merkt de Afdeling op dat het onvoldoende duidelijk is welke eisen concreet aan de programmatuur worden gesteld. Het ontwerpbesluit geeft onvoldoende invulling en schrijft niet voor welke eisen de Kiesraad nog moet stellen. Dit doet afbreuk aan de kenbaarheid van de eisen en geeft de Kiesraad een ruimere bevoegdheid dan nu noodzakelijk is. De Afdeling adviseert om de technische eisen meer concreet in het ontwerpbesluit op te nemen en anders in de toelichting in te gaan op de noodzaak om in het ontwerpbesluit op die punten ruimte te laten. Tot slot adviseert de Afdeling om in de toelichting uit te leggen dat de technische voorschriften een beperking vormen van het vrij verkeer van diensten en waarom die beperking gerechtvaardigd is.

In verband daarmee is aanpassing wenselijk van de nota van toelichting en zo nodig het ontwerpbesluit.

1. Achtergrond en inhoud van het ontwerpbesluit

In het verkiezingsproces maken gemeenten en centraal stembureaus gebruik van programmatuur voor het optellen van de door de stembureaus vastgestelde stemtotalen. Daarnaast wordt de programmatuur gebruikt voor het vaststellen van de zetelverdeling en de zeteltoewijzing aan kandidaten. Het gebruik van programmatuur, dat voor deze processen al decennialang gangbaar is, is onmisbaar voor een tijdige en betrouwbare uitslagvaststelling.  (zie noot 1)  De inzet van elektronische programmatuur voor de verwerking van uitslagen is de laatste tijd bovendien van belang geworden voor de openbaarheid en digitale controleerbaarheid van de optellingen en de mogelijkheid om fouten in de uitslag via data-analyse op te sporen.  (zie noot 2)  Zonder veilige programmatuur kunnen uitslagen zeer waarschijnlijk niet binnen de wettelijke termijnen en niet met de voorgeschreven controles worden vastgesteld. Betrouwbaar werkende uitslagprogrammatuur levert daarmee een bijdrage aan het vertrouwen dat burgers hebben in het verkiezingsproces.

Voor een betrouwbare werking van de uitslagprogrammatuur is het essentieel dat de omgeving waarin die wordt gebruikt beveiligd is ingericht, zoals door gebruik van de juiste (ICT-)voorzieningen en het treffen van (beveiligings)maatregelen.  (zie noot 3)  De Wet programmatuur verkiezingsuitslagen bevat een grondslag voor het stellen van voorwaarden aan de inzet van programmatuur. De wet formuleert basisbeginselen van betrouwbaarheid, beveiliging, transparantie en controleerbaarheid.  (zie noot 4)  Verder bevat de wet enkele grondslagen voor nadere regelgeving. Beoogd is de wet op 1 juli 2025 in werking te laten treden.  (zie noot 5)

De Wet programmatuur verkiezingsuitslagen kent als uitgangspunt dat de uitslagprogrammatuur centraal wordt ontsloten en dat zowel gebruikers (zoals gemeenten) als de Kiesraad hierop kunnen inloggen.  (zie noot 6)  Deze centrale opzet zou een belangrijke wijziging zijn ten opzichte van de huidige praktijk, waar uitslagprogrammatuur lokaal (‘air-gapped’) wordt gehost en de betrouwbare en veilige werking in grote mate afhankelijk is van de omgeving waarin de programmatuur lokaal wordt gebruikt.  (zie noot 7)

De centrale opzet geeft de Kiesraad de mogelijkheid om de betrouwbare werking en de beveiliging van de uitslagprogrammatuur op afstand te monitoren. De wet bevat de bevoegdheid voor de Kiesraad om beheersaanwijzingen te geven als de lokale omgeving niet voldoet aan de aansluit- of gebruiksvoorschriften of als door een onvoorziene situatie de betrouwbare en veilige werking van de programmatuur niet kan worden gegarandeerd.  (zie noot 8)  De Kiesraad kan het gebruik van de programmatuur onderbreken als de beheersaanwijzing niet wordt opgevolgd of als er anderszins sprake is van ernstige dreigingen of misbruik.  (zie noot 9)  De Kiesraad rapporteert over vastgestelde onregelmatigheden waardoor de betrouwbare of veilige werking van de programmatuur in gevaar is geweest.  (zie noot 10)

De gedachte achter de centrale opzet van de programmatuur is dat de Kiesraad zorgt voor de betrouwbare werking en de beveiliging van de uitslagprogrammatuur en ingrijpt als de programmatuur onzorgvuldig wordt gebruikt of als er sprake is van een (dreigende) kwetsbaarheid.  (zie noot 11)  Een gelaagde set aan maatregelen bevat detectiemiddelen en mogelijkheden voor de Kiesraad om direct op incidenten te reageren en gesignaleerde risico’s te mitigeren.  (zie noot 12)  Naast centrale programmatuur moet de Kiesraad altijd ook decentrale programmatuur als terugvaloptie beschikbaar hebben. Dit voor het geval dat de centraal ontsloten programmatuur niet gebruikt kan worden bij storing of gesignaleerde dreigingen die de betrouwbare en veilige werking van de uitslagprogrammatuur in gevaar brengen.  (zie noot 13)

Bij nota van wijziging heeft de regering de mogelijkheid opgenomen dat de programmatuur niet centraal wordt opgezet.  (zie noot 14)  Volgens de regering was het nog steeds het voornemen om te komen tot centraal ontsloten uitslagprogrammatuur, maar bestaat de kans dat een centrale opzet niet altijd mogelijk is.  (zie noot 15)  Dat zou betekenen dat gebruikers de programmatuur lokaal (decentraal) moeten hosten. De wettelijke verantwoordelijkheden en bevoegdheden van de Kiesraad zijn in beide situaties hetzelfde, en zijn dus niet afhankelijk van de keuze of de programmatuur wel of niet centraal wordt opgezet.  (zie noot 16)  Het ontwerpbesluit maakt het ook mogelijk dat de uitslagprogrammatuur niet centraal wordt ontsloten.

2. Gevolgen decentrale opzet programmatuur

Het ontwerpbesluit bepaalt dat de centrale voorzieningen die de Kiesraad kan aanbieden kunnen bestaan uit een centrale omgeving waarop de programmatuur wordt gehost en een platform waarmee gegevens en uitslagen kunnen worden uitgewisseld. Uit de toelichting op het ontwerpbesluit blijkt dat er weliswaar verwachtingen zijn over de inhoud van de centrale voorzieningen,  (zie noot 17)  maar dat ook onduidelijk is of deze verwezenlijkt kunnen worden.  (zie noot 18)  Het ontwerpbesluit laat de mogelijkheid dat er geheel geen centrale voorzieningen worden aangeboden of dat er hoogstens een uitwisselingsplatform is. In die gevallen wordt de uitslagprogrammatuur, net als nu, decentraal (‘air-gapped’) gehost.

Met het oog op de bevoegdheden die met de Wet programmatuur verkiezingsuitslagen in het leven zijn geroepen heeft het decentraal hosten van de uitslagprogrammatuur verschillende gevolgen. Allereerst heeft dit effect op de controlemogelijkheden van de Kiesraad. Bij het decentraal ontsluiten van programmatuur is er, zoals de regering eerder al aangaf,  (zie noot 19)  geen centrale monitoring mogelijk.  (zie noot 20)  De Kiesraad is voor het verkrijgen van gegevens en inlichtingen over het gebruik afhankelijk van meldingen van gebruikers of derden.  (zie noot 21)  Ten tweede kan de Kiesraad niet op afstand ingrijpen, bijvoorbeeld om een inbreuk op de veilige werking van de uitslagprogrammatuur te voorkomen of te beëindigen.  (zie noot 22)  Ten derde kan de Kiesraad bij een decentrale opzet van de programmatuur niet het gebruik van de software onderbreken als een beheersaanwijzing niet wordt nageleefd of als er anderszins sprake is van een (dreigende) aantasting of misbruik.  (zie noot 23)  Bij gebreke van deze centrale controlemogelijkheden, is de betrouwbare en veilige werking in grote mate afhankelijk van de wijze waarop de programmatuur lokaal wordt gebruikt.  (zie noot 24)

Naast de gevolgen voor de controlebevoegdheden die de Kiesraad kan inzetten, heeft het decentraal ontsluiten van de uitslagprogrammatuur ook gevolgen voor de beschikbare terugvalopties. Bij het centraal gebruik van programmatuur kan zo nodig eerst nog worden teruggevallen op decentraal ontsloten programmatuur.  (zie noot 25)  Als alleen die laatste opzet wordt aangeboden, resteert slechts de terugvaloptie om de uitslagen handmatig te berekenen. De handmatige terugvaloptie is eerder als ‘onwenselijk’ beoordeeld vanwege de grote uitvoeringslast en de omstandigheid dat de wettelijke termijnen dan naar verwachting zullen worden overschreden.  (zie noot 26)  Ook werd als risico gezien dat handmatig optellen, zelfs in combinatie met enige ondersteuning van spreadsheets en rekenmachines, tot menselijke (optel)fouten zou leiden.

De toelichting bij het ontwerpbesluit gaat niet in op deze gevolgen van de keuze tussen een decentrale of centrale opzet van de programmatuur voor de door de Kiesraad uit te oefenen bevoegdheden en de mogelijke terugvalopties. Mocht niet voor een centrale opzet van de programmatuur worden gekozen, dan verdient het volgens de Afdeling aanbeveling om opnieuw te bekijken of de wettelijke controlebevoegdheden goed zijn belegd.

De Afdeling adviseert in de toelichting in te gaan op de gevolgen van de decentrale opzet van de programmatuur voor de door de Kiesraad uit te oefenen bevoegdheden en voor de mogelijke terugvalopties.

3. Technische eisen aan de programmatuur

De wettelijke eisen die aan de uitslagprogrammatuur worden gesteld, zijn techniekonafhankelijk geformuleerd. Dat houdt in dat de wet geen concrete eisen stelt aan de bouw van de programmatuur, maar alleen aan de functionaliteit en werkzaamheid ervan. Aangezien de wet dit niet verder inkadert, brengt die techniekonafhankelijke benadering volgens de regering met zich mee dat een aanzienlijk deel van de technische eisen in het ontwerpbesluit is opgenomen.  (zie noot 27)  De wet bevat de daartoe benodigde grondslagen. Het ontwerpbesluit formuleert enkele functionaliteitseisen en transparantievereisten waar de uitslagprogrammatuur aan moet voldoen.  (zie noot 28)  Zo wordt geregeld dat de programmatuur open source is ontwikkeld en een bepaalde tekenset ondersteunt.

De technische eisen die het ontwerpbesluit bevat, vormen maar ten dele een concrete uitwerking van de wettelijke grondslagen. Zo stelt het ontwerpbesluit nu geen regels ten aanzien van de centrale monitoring door een security operations center (SOC), terwijl dat oorspronkelijk wel de bedoeling was.  (zie noot 29)  Op andere plekken laat het ontwerpbesluit onduidelijkheid bestaan over de invulling van de technische eisen. Zij zijn opnieuw abstract geformuleerd of leggen de opdracht tot nadere concretisering bij de Kiesraad. Zo wordt de precieze wijze van authenticatie van gebruikers van de programmatuur niet vastgelegd.  (zie noot 30)

De standaard voor de uitwisseling van verkiezingsgegevens zoals kandidatenlijsten, stembureaugegevens en resultaatgegevens wordt ook niet in het ontwerpbesluit geregeld, maar moet door de Kiesraad in de aansluitvoorschriften worden vastgelegd.  (zie noot 31)  Ten aanzien van de aansluit- en gebruiksvoorschriften geldt bovendien dat het ontwerpbesluit hier wel een opsomming van bevat, maar de Kiesraad de ruimte laat om niet over elk onderwerp voorschriften te stellen.  (zie noot 32)  Zo kunnen deze voorschriften gaan over vereisten voor de fysieke omgeving, het netwerk en de authenticatie van gegevens, maar hoeft dat niet het geval te zijn. De opsomming is daarmee limitatief, maar niet dwingend.  (zie noot 33)

Daarmee is het onvoldoende duidelijk welke eisen concreet aan de programmatuur worden gesteld. Begrijpelijkerwijs moet het ontwerpbesluit ruimte bieden voor technische ontwikkelingen, maar tegelijk moet ervoor worden gewaakt dat de betekenis van technische eisen onvoldoende duidelijk is of onnodig wordt doorgedelegeerd naar de Kiesraad. Dit doet afbreuk aan de kenbaarheid van de eisen en maakt het voor het parlement en andere betrokkenen lastig om er zich een voorstelling van te maken wat dit concreet betekent voor de inrichting en werking van de programmatuur.  (zie noot 34)  Zij kunnen hierdoor slecht inschatten of de gestelde eisen een afdoende waarborg bieden tegen de risico’s die het gebruik van uitslagprogrammatuur omgeven. De bevoegdheid van de Kiesraad om technische eisen te stellen, verdient bovendien inkadering om geen ruimere bevoegdheid te creëren dan nu noodzakelijk is.  (zie noot 35)  Mocht in de toekomst blijken dat met oog op technische ontwikkelingen en inzichten de gestelde eisen bijstelling behoeven, dan kan dat door wijziging van het Kiesbesluit gebeuren.

De Afdeling adviseert om de technische eisen concreter in het ontwerpbesluit op te nemen en anders in de toelichting nadrukkelijker in te gaan op de noodzaak om in het ontwerpbesluit ruimte te laten bestaan over de omvang van de te stellen eisen of het niet concreet invullen daarvan.

4. Rechtvaardiging beperking vrij verkeer van diensten

Het ontwerpbesluit bevat technische voorschriften in de zin van Richtlijn 2015/1535.  (zie noot 36)  De toelichting op het ontwerpbesluit beschrijft dat de voorschriften gelet hierop zijn genotificeerd bij de Europese Commissie. (zie noot 37) Uit de toelichting blijkt niet expliciet dat de technische voorschriften een beperking vormen van het Unierechtelijke vrij verkeer van diensten en, voor zover dat het geval is, waarom die beperking gerechtvaardigd is in het licht van de verdragsuitzonderingen of dwingende eisen van algemeen belang.

De Afdeling adviseert dit toelichting op dit punt aan te vullen.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het ontwerpbesluit en adviseert daarmee rekening te houden voordat een besluit wordt genomen.


De vice-president van de Raad van State

Voetnoten

(1) Kamerstukken II 2021/22, 36150, nr. 3, p. 2.
(2) Artikel P 1d van de Kieswet.
(3) Kamerstukken II 2021/22, 36150, nr. 3, p. 3.
(4) Stb. 2024, 92.
(5) Kamerstukken II 2024/25, 36552, nr. 6, p. 2.
(6) Kamerstukken II 2021/22, 36150, nr. 3, p. 4.
(7) Kamerstukken II 2021/22, 36150, nr. 3, p. 4 en 11.
(8) Artikel Ea 10 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(9) Artikel Ea 11 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(10) Artikel Ea 12 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(11) Kamerstukken II 2021/22, 36150, nr. 3, p. 4-6 en p. 14.
(12) Kamerstukken II 2021/22, 36150, nr. 3, p. 14-15.
(13) Kamerstukken II 2021/22, 36150, nr. 3, p. 12.
(14) Artikel Ea 2 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(15) Kamerstukken II 2022/23, 36150, nr. 7, p. 7.
(16) Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 2 (achtergrond en doelstelling).
(17) Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 2 (achtergrond en doelstelling).
(18) Toelichting op het ontwerpbesluit, artikelsgewijs deel (artikel Ea 3).
(19) Kamerstukken II 2021/22, 36150, nr. 3, p. 16.
(20) Zo stelt artikel Ea 3, tweede lid, onder d, van het ontwerpbesluit slechts ten aanzien van de centrale voorzieningen dat er maatregelen worden getroffen voor het detecteren en herstellen van beveiligingsinbreuken. Een ontbrekende detectie werkt ook door in wat van de rapportage van bevindingen verwacht kan worden die op grond van artikel Ea 12 van de Kieswet wordt opgesteld.
(21) Artikel Ea 9 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(22) Artikel Ea 10 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(23) Artikel Ea 11 van de Kieswet zoals deze luidt na inwerkingtreding van de Wet programmatuur verkiezingsuitslagen.
(24) Kamerstukken II 2021/22, 36150, nr. 3, p. 11.
(25) Kamerstukken II 2021/22, 36150, nr. 3, p. 25.
(26) Kamerstukken II 2021/22, 36150, nr. 3, p. 25.
(27) Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 2 (achtergrond en doelstelling).
(28) Artikel Ea 1 van het ontwerpbesluit.
(29) Kamerstukken II 2021/22, 36150, nr. 3, p. 19.
(30) Artikelen Ea 2 en Ea 3, derde lid, van het ontwerpbesluit.
(31) Artikel Ea 1, derde lid, van het ontwerpbesluit.
(32) Artikel Ea 4, eerste en tweede lid, van het ontwerpbesluit.
(33) Toelichting op het ontwerpbesluit, artikelsgewijs deel (artikel Ea 4).
(34) Zie ook het ongevraagd advies van de Afdeling over de effecten van de digitalisering voor de rechtsstatelijke verhoudingen, W04.18.0230/I, 31 augustus 2018, Kamerstukken II 2017/18, 26643, nr. 557.
(35) De toelichting op het ontwerpbesluit verwijst in dat verband ook naar aanwijzing 5.10, eerste lid, van de Aanwijzingen voor de regelgeving.
(36) Onder artikel 1 onder f en g van de Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad van 9 september 2015 betreffende een informatieprocedure op het gebied van technische voorschriften en regels betreffende de diensten van de informatiemaatschappij (PbEU 2015, L 241).
(37) Naar aanleiding van deze notificatie zijn geen aanpassingen gedaan van het ontwerpbesluit: Toelichting op het ontwerpbesluit, algemeen deel, paragraaf 3 (consultatie).