--- id: csam-fas type: Platform type_label: Platform of dienst title: CSAM en Federal Authentication Service (FAS) aliases: - CSAM - FAS - Federal Authentication Service - Federale Authenticatiedienst - Mijn digitale sleutels - Common Secure Access Management names: nl: Federale Authenticatiedienst (FAS) binnen CSAM fr: Service fédéral d'authentification (FAS) au sein de CSAM en: Federal Authentication Service (FAS) within CSAM de: Föderaler Authentifizierungsdienst (FAS) innerhalb von CSAM jurisdiction: - belgie themes: - identiteit-en-toegang - architectuur-en-infrastructuur lifecycle: productie lifecycle_note: 'In productie bij FOD BOSA. Nieuwe sleutels: MyGov.be sinds 14 oktober 2025, Smart-ID sinds 16 maart 2026 (volgens ITdaily). Recentst gevonden FAS Assurance Framework: versie 1.2 van 2022.' version: FAS Assurance Framework v1.2 (26/09/2022); privacyverklaring FAS - Mijn digitale sleutels 1.3 summary: 'CSAM is het federale geheel van afspraken en regels voor identiteits- en toegangsbeheer bij de overheid, opgezet door zes federale instanties. De Federal Authentication Service (FAS) is daarbinnen de aanmelddienst: burgers authenticeren zich met een digitale sleutel, zoals de eID, itsme of de MyGov.be-app, en elke sleutel heeft een betrouwbaarheidsniveau volgens het eIDAS-kader. De wet van 18 juli 2017 belast FOD BOSA met deze dienst. Ook zorgtoepassingen steunen erop, zoals de identiteitsdienst van het eHealth-platform en de app Mijngezondheid.' last_verified: '2026-10-08' relations: - type: ownedBy direction: uit target: ksz target_url: https://ehealth-atlas.be/ksz/ status: established - type: connectsTo direction: uit target: i-am-connect target_url: https://ehealth-atlas.be/i-am-connect/ status: established - type: connectsTo direction: uit target: mijngezondheid target_url: https://ehealth-atlas.be/mijngezondheid/ status: established - type: seeAlso direction: uit target: eidas-verordening target_url: https://ehealth-atlas.be/eidas-verordening/ status: established - type: about direction: in target: authenticatie-in-de-zorg target_url: https://ehealth-atlas.be/authenticatie-in-de-zorg/ status: established - type: appliesTo direction: in target: eidas-verordening target_url: https://ehealth-atlas.be/eidas-verordening/ status: established release: 2026.10.08-2 url: https://ehealth-atlas.be/csam-fas/ license: CC BY 4.0 --- # CSAM en Federal Authentication Service (FAS) CSAM is het federale geheel van afspraken en regels voor identiteits- en toegangsbeheer bij de overheid, opgezet door zes federale instanties. De Federal Authentication Service (FAS) is daarbinnen de aanmelddienst: burgers authenticeren zich met een digitale sleutel, zoals de eID, itsme of de MyGov.be-app, en elke sleutel heeft een betrouwbaarheidsniveau volgens het eIDAS-kader. De wet van 18 juli 2017 belast FOD BOSA met deze dienst. Ook zorgtoepassingen steunen erop, zoals de identiteitsdienst van het eHealth-platform en de app Mijngezondheid. ## In het kort - **Wat**: FAS is de dienst binnen CSAM waarmee burgers zich met digitale sleutels authenticeren, zodat overheden weten wie toegang vraagt[^1][^2]. - **Hoe**: elke sleutel heeft een betrouwbaarheidsniveau[^1], volgens een kader dat de eIDAS-niveaus zonder afwijking toepast[^1]. - **Sleutels**: de eID haalt niveau hoog, itsme en de MyGov.be-app hoog met pincode en substantieel met biometrie, en gebruikersnaam met wachtwoord alleen laag[^2]. - **Beheer**: de wet van 18 juli 2017 belast FOD BOSA met de aanmeldingsdiensten voor overheidstoepassingen[^3]; CSAM zelf is een initiatief van zes federale instanties[^4]. - **Zorg**: de eHealth IDP en de app Mijngezondheid steunen voor de aanmelding op FAS[^5][^6]. - **Grootste onzekerheid**: de recentst gevonden versie van het FAS Assurance Framework is 1.2 van 26 september 2022[^1], van vóór MyGov.be en Smart-ID als sleutel[^7][^8]. ## Wat is het? CSAM (Common Secure Access Management) is een geheel van afspraken en regels om het identiteits- en toegangsbeheer binnen het e-Government te organiseren[^4]. De Federal Authentication Service (FAS) is een van de diensten binnen CSAM[^1]. Met FAS authenticeren burgers zich aan de hand van digitale sleutels, zodat overheden weten wie toegang vraagt tot hun toepassingen en die toegang kunnen verlenen[^2]. FAS is het platform dat een authenticatiedienst aanbiedt met meerdere digitale sleutels, elk gekoppeld aan een betrouwbaarheidsniveau (Level of Assurance)[^1]. Het FAS Assurance Framework (versie 1.2, 26 september 2022) is gebaseerd op het eIDAS-kader voor betrouwbaarheidsniveaus en past dat zonder afwijking toe op de Belgische context[^1] (zie [eIDAS-verordening (910/2014, gewijzigd door 2024/1183)](https://ehealth-atlas.be/eidas-verordening/)). Het eindniveau van een sleutel is de laagste score over de afzonderlijke factoren: inschrijving, middelenbeheer, authenticatie en governance[^1]. FAS authenticeert enkel natuurlijke personen; wie namens een onderneming optreedt, doet dat via een systeem van rollen en mandaten van natuurlijke personen[^1]. Hoe de zorg FAS gebruikt naast eHealth-certificaten en tokens, staat op [Authenticatie in de zorg](https://ehealth-atlas.be/authenticatie-in-de-zorg/). ## Welke diensten? | Dienst | Wat | Voor wie | Bewijs | |---|---|---|---| | Authenticatie met digitale sleutels | aanmelden met eID, erkende private sleutel, MyGov.be-app, gebruikersnaam en wachtwoord met of zonder beveiligingscode, of een Europees erkende sleutel | burgers, ook als zorgverlener of namens een onderneming |[^2][^1] | | Mijn digitale sleutels | federaal portaal waar sleutels zoals een TOTP-app geregistreerd worden, in 2019 met één aanmelding via de eID | burgers |[^9] | | eIDAS-node | integratie van de wederzijds erkende, aangemelde stelsels en sleutels van andere lidstaten | burgers uit andere EU-lidstaten |[^1] | | Single sign-on | binnen dezelfde 'circle of trust'; volgens de versie van 2022 niet gelijktijdig voor publieke en private diensten | toepassingen achter FAS |[^1] | | Doorgifte van het identificatienummer | de toepassing krijgt het rijksregisternummer, of een ander nummer als de organisatie daartoe niet gemachtigd is | aangesloten toepassingen |[^2] | | Audit trail | authenticaties en pogingen worden geregistreerd en 10 jaar bewaard | FOD BOSA |[^2] | ### Digitale sleutels en niveaus | Sleutel | Niveau in FAS | |---|---| | eID | hoog[^2] | | Sleutel van een erkende dienstverlener, zoals itsme | hoog met pincode, substantieel met biometrie[^2] | | MyGov.be-app | hoog met pincode, substantieel met biometrie[^2] | | Op Europees niveau erkende sleutel (eIDAS) | hoog of substantieel[^2] | | Gebruikersnaam, wachtwoord en beveiligingscode via mobiele app, sms of e-mail | substantieel[^2] | | Gebruikersnaam en wachtwoord | laag[^2] | Volgens ITdaily kunnen burgers sinds 16 maart 2026 ook met de app Smart-ID aanmelden bij Belgische overheidsdiensten, na een erkenning op niveau hoog in januari 2026[^8]. De sleutel 'code via token', een document met 24 persoonlijke codes, is volgens een secundaire bron van december 2023 aangekondigd als niet langer beschikbaar vanaf 31 januari 2024[^10]. Sinds 14 oktober 2025 is de MyGov.be-app een digitale sleutel[^7]; wat de app verder doet, staat op [Authenticatie in de zorg](https://ehealth-atlas.be/authenticatie-in-de-zorg/). ### Erkenning van private sleutels Het KB van 22 oktober 2017 onderscheidt erkende identificatiediensten met betrouwbaarheidsniveau substantieel en hoog[^11]. Een erkenning geldt drie jaar, en een hernieuwing vraagt een nieuwe aanvraag[^11]. Een erkende private aanbieder mag het rijksregisternummer uitsluitend gebruiken voor het aanbieden van de erkende dienst via de authenticatiedienst[^3]. Volgens itsme keurde de Europese Commissie op 18 december 2019 de aanmelding van het Belgische stelsel FAS/itsme onder eIDAS goed[^12], op betrouwbaarheidsniveau hoog[^12]. Volgens een persbericht van itsme zonder zichtbare datum verlengde de federale overheid de erkenning van itsme als aanmeldmiddel voor FAS met drie jaar[^13]. Een officiële BOSA-lijst van de actueel erkende diensten met erkennings- en vervaldatum is niet gevonden. ## Waar wordt het gebruikt? Volgens CSAM doen onder meer de sociale zekerheid, diverse instellingen van de gezondheidszorg, Justitie, de regio's en lokale besturen een beroep op CSAM voor de toegang tot hun onlinediensten[^4]. Volgens itsme verliep in 2023 bijna 68% van alle FAS-authenticaties via itsme, 16% via de eID en 16% via andere methoden[^13]. | Domein | Gebruik van FAS of CSAM | Pagina | |---|---|---| | eHealth-platform, webtoepassingen | de eHealth IDP steunt voor de authenticatie op BOSA FAS[^5] | [I.AM en I.AM Connect (Identity & Access Management)](https://ehealth-atlas.be/i-am-connect/) | | eHealth-platform, REST | I.AM Connect steunt bij IAM eXchange op FAS[^14] | [I.AM en I.AM Connect (Identity & Access Management)](https://ehealth-atlas.be/i-am-connect/) | | Burgers, gezondheid | de app Mijngezondheid is enkel toegankelijk via sterke authenticatie met CSAM-FAS[^6] | [Mijngezondheid (Masanté)](https://ehealth-atlas.be/mijngezondheid/) | | Bevolkingsonderzoek | toegang tot My eBox via het CSAM-platform[^15] | [Bevolkingsonderzoek en preventie: digitale systemen en uitwisselingen](https://ehealth-atlas.be/bevolkingsonderzoek-digitaal/) | | Borstkankeropsporing | eenmalige identificatieprocedure op het CSAM-platform voor Heracles[^16] | [Heracles (screeningsdatabank en webtoepassing CvKO)](https://ehealth-atlas.be/heracles-cvko/) | | Huisartsen | Orgadon via het eHealth-portaal na identificatie via CSAM[^17] | [Orgadon (register van wilsverklaringen over donatie)](https://ehealth-atlas.be/orgadon/) | | Zorg op afstand | teleconsultatie en telemonitoring van hartfalen vragen een FAS-middel of een eigen systeem onder voorwaarden[^18][^19] | [Teleconsultatie en zorg op afstand (buiten telemonitoring)](https://ehealth-atlas.be/teleconsultatie/), [Telemonitoring bij hartfalen](https://ehealth-atlas.be/telemonitoring-hartfalen/) | ### Wie beheert het CSAM is een initiatief van zes federale instanties: de RSZ, FOD BOSA (DG DT), FOD Financiën, de Kruispuntbank van de Sociale Zekerheid ([Kruispuntbank van de Sociale Zekerheid (KSZ)](https://ehealth-atlas.be/ksz/)), FOD Economie en FOD Binnenlandse Zaken[^4]. Het strategisch beheer ligt bij een Beheercomité met de hoogste verantwoordelijken van elke sponsor; daarnaast bestaan een Beheergroep en een Strategisch Gebruikerscomité[^4]. Artikel 9 van de wet van 18 juli 2017 inzake elektronische identificatie belast FOD BOSA met het aanbieden van elektronische aanmeldingsdiensten voor overheidstoepassingen binnen de authenticatiedienst[^3]. Op dat artikel steunt ook de verwerking van persoonsgegevens binnen FAS, die DG Vereenvoudiging en Digitalisering van FOD BOSA uitvoert[^2]. ## Wat betekent het voor een ziekenhuis? - **Indirecte afhankelijkheid**: de aanmelding van zorgverleners en patiënten via de eHealth IDP, I.AM Connect en de app Mijngezondheid loopt via FAS[^5][^14][^6]; een storing of wijziging van een FAS-sleutel raakt daardoor ook zorgtoepassingen (interpretatie). - **Identificatienummer**: een toepassing achter FAS krijgt het rijksregisternummer enkel als de organisatie daartoe gemachtigd is[^2]. - **Eigen authenticatie in zorg op afstand**: bij teleconsultatie mag een aanbieder een eigen systeem gebruiken dat aan cumulatieve voorwaarden voldoet, waaronder een eenmalige registratie met een FAS-middel van minstens het niveau dat het Beheerscomité van het eHealth-platform vastlegt[^18] (de overige voorwaarden staan op [Authenticatie in de zorg](https://ehealth-atlas.be/authenticatie-in-de-zorg/)). ## Onzekerheden en tegenstrijdige informatie 1. **Mogelijk verouderd kader**: de recentst gevonden versie van het FAS Assurance Framework is 1.2 van 26 september 2022[^1], van vóór de MyGov.be-app en Smart-ID als sleutel[^7][^8]; of er een recentere versie bestaat, is niet nagegaan. 2. **Single sign-on**: de beperking tot publieke of private diensten staat in de versie van 2022[^1]; of ze nog geldt, is niet nagegaan. 3. **Erkende private sleutels**: de erkenning van itsme en Smart-ID is enkel bekend via itsme zelf en een nieuwsbericht[^13][^8]; een primaire BOSA-bron is niet gevonden. 4. **Code via token**: het einde op 31 januari 2024 steunt op een aankondiging in een secundaire blog van december 2023[^10]. 5. **Niveau van MyGov.be**: FAS geeft hoog met pincode en substantieel met biometrie[^2], de eHealth IDP-specificatie enkel hoog[^5]. ## Relaties - valt onder verantwoordelijkheid van: [Kruispuntbank van de Sociale Zekerheid (KSZ)](https://ehealth-atlas.be/ksz/) (vastgesteld)[^4]. De Kruispuntbank van de Sociale Zekerheid is een van de zes initiatiefnemers van CSAM; FOD BOSA biedt FAS aan (geen eigen pagina). - koppelt met: [I.AM en I.AM Connect (Identity & Access Management)](https://ehealth-atlas.be/i-am-connect/) (vastgesteld)[^5][^14]. De eHealth IDP en I.AM Connect (bij IAM eXchange) steunen voor de authenticatie van personen op FAS. - koppelt met: [Mijngezondheid (Masanté)](https://ehealth-atlas.be/mijngezondheid/) (vastgesteld)[^6]. De app Mijngezondheid is enkel toegankelijk via sterke authenticatie met CSAM-FAS. - zie ook: [eIDAS-verordening (910/2014, gewijzigd door 2024/1183)](https://ehealth-atlas.be/eidas-verordening/) (vastgesteld)[^1]. Het FAS Assurance Framework past de eIDAS-betrouwbaarheidsniveaus zonder afwijking toe; FAS integreert de eIDAS-node. - gaat over (inkomend): [Authenticatie in de zorg](https://ehealth-atlas.be/authenticatie-in-de-zorg/) (vastgesteld)[^5][^14][^6] - is van toepassing op (inkomend): [eIDAS-verordening (910/2014, gewijzigd door 2024/1183)](https://ehealth-atlas.be/eidas-verordening/) (vastgesteld)[^1] ## Open vragen - Welke versie van het FAS Assurance Framework is actueel na de toevoeging van MyGov.be (2025) en Smart-ID (2026)? De recentst gevonden versie is 1.2 van 2022. - Welke private identificatiediensten zijn op dit moment erkend onder het KB van 22 oktober 2017, en tot wanneer? - Laat single sign-on via FAS intussen gelijktijdige toegang tot publieke en private diensten toe? ## Bronnen [^1]: [FAS Assurance Framework](https://bosa.belgium.be/sites/default/files/content/documents/DTdocs/FAS/FAS%20Assurance%20Framework.pdf). FOD BOSA - DG Simplification & Digitalization, domein IAA, 2022-09-26. Opgehaald 2026-10-07, sha256 76b9070212e4d4d5… (SRC-49845a2c83) [^2]: [Privacyverklaring – FAS – Mijn digitale sleutels 1.3](https://sma-help.bosa.belgium.be/nl/fas-privacyverklaring). FOD BOSA, DG Vereenvoudiging en Digitalisering. Opgehaald 2026-10-07, sha256 aa417c8d1cd40fa7… (SRC-e084d77d1b) [^3]: [18 juli 2017. - Wet inzake elektronische identificatie](https://www.ejustice.just.fgov.be/eli/wet/2017/07/18/2017020539/justel). Belgisch Staatsblad (bron: Beleid en Ondersteuning), 2017-08-09. Opgehaald 2026-10-07, sha256 931da587fea91ac8… (SRC-0211e79698) [^4]: [Wat is CSAM?](https://www.csam.be/nl/over-csam.html). CSAM (RSZ, FOD BOSA, FOD Financiën, KSZ, FOD Economie, FOD Binnenlandse Zaken). Opgehaald 2026-10-07, sha256 f163a5a038d2cca7… (SRC-fce108e92d) [^5]: [I.AM Identity Provider – Tech Specs v1.4](https://www.ehealth.fgov.be/ehealthplatform/file/cc73d96153bbd5448a56f19d925d05b1379c7f21/73c34e477b3b24ae14866882b24506e84f78a948/i-am-idp-cookbook-v1-4.pdf). eHealth-platform, 2025-10-14. Opgehaald 2026-10-07, sha256 46a53092cd92bf4e… (SRC-a5c92698de) [^6]: [Privacyverklaring mobiele applicatie mijngezondheid](https://www.inami.fgov.be/nl/pagina/privacyverklaring-mobiele-applicatie-mijngezondheid). RIZIV. Opgehaald 2026-10-07, sha256 fb13c2da078f310c… (SRC-b1f0269438) [^7]: [Gebruik de MyGov.be-app ook als digitale sleutel!](https://www.socialsecurity.be/citizen/nl/nieuws/gebruik-de-mygov-be-app-ook-als-digitale-sleutel). socialezekerheid.be (portaal van de sociale zekerheid), 2025-10-15. Opgehaald 2026-10-07, sha256 abd450c862c6e829… (SRC-a07a3b5be2) [^8]: [Smart-ID officially ready for use to log in to government services](https://itdaily.com/news/software/smart-id-gebruiksklaar/). ITdaily, 2026-03-16. Opgehaald 2026-10-07, sha256 88eba36d9f4837c3… (SRC-11dd4854a2) [^9]: [Toegang tot RIZIV toepassingen via eHealth V 1.4](https://www.riziv-inami.fgov.be/SiteCollectionDocuments/ehealth-toegang-webtoepassing.pdf). RIZIV, 2019-01-04. Opgehaald 2026-10-07, sha256 0af3d62416a24d96… (SRC-4c494a06fc) [^10]: [E-services: aanmelden met het federale token niet meer mogelijk vanaf 31 januari 2024](https://blog.forumforthefuture.be/nl/article/e-services-aanmelden-met-het-federale-token-niet-meer-mogelijk-vanaf-31-januari-2024/21015). Forum for the Future (blog), 2023-12-04. Opgehaald 2026-10-07, sha256 23ee98321d02ba11… (SRC-bf12be8589) [^11]: [22 oktober 2017. - Koninklijk besluit tot vaststelling van de voorwaarden, de procedure en de gevolgen van de erkenning van diensten voor elektronische identificatie voor overheidstoepassingen](https://www.ejustice.just.fgov.be/eli/besluit/2017/10/22/2017031391/justel). Belgisch Staatsblad (bron: Beleid en Ondersteuning), 2017-11-08. Opgehaald 2026-10-07, sha256 938efef46f75ef51… (SRC-8174f8bc30) [^12]: [itsme® notified by Europe as a means of identification](https://www.itsme-id.com/business/blog/eidas-loa-high). Belgian Mobile ID (itsme). Opgehaald 2026-10-07, sha256 e21596ab019ec465… (SRC-21d0c8c72c) [^13]: [Government underlines its confidence in itsme® by extending their accreditation](https://press.itsme-id.com/government-underlines-its-confidence-in-itsmer-by-extending-their-accreditation). Belgian Mobile ID (itsme). Opgehaald 2026-10-07, sha256 2c4149160d6046e5… (SRC-a9cfde677d) [^14]: [IAM eXchange - Tech Specs v1.4](https://www.ehealth.fgov.be/ehealthplatform/file/cc73d96153bbd5448a56f19d925d05b1379c7f21/7b7924a2b772b28caab82b0aec53cd7b1f218f29/iam-exchange-technical-specifications-v1-4.pdf). eHealth-platform, 2026-09-10. Opgehaald 2026-10-07, sha256 ef87b9624f73fa6d… (SRC-a64792a86d) [^15]: [Uitnodiging in je eBox](https://baarmoederhalskanker.bevolkingsonderzoek.be/nl/bhk/uitnodiging-je-ebox). Centrum voor Kankeropsporing. Opgehaald 2026-09-30, sha256 a666a52734840dbe… (SRC-d91fea3885) [^16]: [Handleiding Heracles voor mammografische eenheden](https://borstkanker.bevolkingsonderzoek.be/sites/default/files/2026-02/Handleiding%20Heracles%20voor%20MEs.pdf). Centrum voor Kankeropsporing. Opgehaald 2026-09-30, sha256 ac6b40aa4f0145cc… (SRC-ad162aeb90) [^17]: [Registratie van de wilsverklaring voor donatie van menselijk lichaamsmateriaal – Gebruikershandleiding (arts)](https://ehealth.fgov.be/file/b36fd95bf83fa260e4490a9b3028e74dcfc3e3a4/7206cd84f9d64833612cd71f5b202f7b76a58d09/Manual_PHYSICIAN_NL.pdf). eHealth-platform. Opgehaald 2026-09-30, sha256 94911b0fccde0710… (SRC-29e88fdbf3) [^18]: [Koninklijk besluit van 27 maart 2025 tot uitvoering van artikel 34, vijfde lid, van de GVU-wet (zorg op afstand)](https://www.ejustice.just.fgov.be/eli/besluit/2025/03/27/2025002802/staatsblad). Belgisch Staatsblad, 2025-04-07. Opgehaald 2026-09-26, sha256 1b7d6956457d09d2… (SRC-432927ffa9) [^19]: [Overeenkomst telemonitoring en therapiebegeleiding bij chronisch hartfalen](https://www.riziv.fgov.be/SiteCollectionDocuments/overeenkomst_telemonitoring_therapiebegeleiding_chronisch_hartfalen.docx). RIZIV - Dienst voor geneeskundige verzorging. Opgehaald 2026-09-26, sha256 23cb58cd97543514… (SRC-58fa2bcddb)