CSAM en Federal Authentication Service (FAS)

CSAM (Common Secure Access Management) is een geheel van afspraken en regels om het identiteits- en toegangsbeheer binnen het e-Government te organiseren^[4]. De Federal Authentication Service (FAS) is een van de diensten binnen CSAM^[1]. Met FAS authenticeren burgers zich aan de hand van digitale sleutels, zodat overheden weten wie toegang vraagt tot hun toepassingen en die toegang kunnen verlenen^[2].

FAS is het platform dat een authenticatiedienst aanbiedt met meerdere digitale sleutels, elk gekoppeld aan een betrouwbaarheidsniveau (Level of Assurance)^[1]. Het FAS Assurance Framework (versie 1.2, 26 september 2022) is gebaseerd op het eIDAS-kader voor betrouwbaarheidsniveaus en past dat zonder afwijking toe op de Belgische context^[1] (zie eIDAS-verordening (910/2014, gewijzigd door 2024/1183)). Het eindniveau van een sleutel is de laagste score over de afzonderlijke factoren: inschrijving, middelenbeheer, authenticatie en governance^[1].

FAS authenticeert enkel natuurlijke personen; wie namens een onderneming optreedt, doet dat via een systeem van rollen en mandaten van natuurlijke personen^[1]. Hoe de zorg FAS gebruikt naast eHealth-certificaten en tokens, staat op Authenticatie in de zorg.

Digitale sleutels en niveaus

Volgens ITdaily kunnen burgers sinds 16 maart 2026 ook met de app Smart-ID aanmelden bij Belgische overheidsdiensten, na een erkenning op niveau hoog in januari 2026^[8]. De sleutel 'code via token', een document met 24 persoonlijke codes, is volgens een secundaire bron van december 2023 aangekondigd als niet langer beschikbaar vanaf 31 januari 2024^[10]. Sinds 14 oktober 2025 is de MyGov.be-app een digitale sleutel^[7]; wat de app verder doet, staat op Authenticatie in de zorg.

Erkenning van private sleutels

Het KB van 22 oktober 2017 onderscheidt erkende identificatiediensten met betrouwbaarheidsniveau substantieel en hoog^[11]. Een erkenning geldt drie jaar, en een hernieuwing vraagt een nieuwe aanvraag^[11]. Een erkende private aanbieder mag het rijksregisternummer uitsluitend gebruiken voor het aanbieden van de erkende dienst via de authenticatiedienst^[3].

Volgens itsme keurde de Europese Commissie op 18 december 2019 de aanmelding van het Belgische stelsel FAS/itsme onder eIDAS goed^[12], op betrouwbaarheidsniveau hoog^[12]. Volgens een persbericht van itsme zonder zichtbare datum verlengde de federale overheid de erkenning van itsme als aanmeldmiddel voor FAS met drie jaar^[13]. Een officiële BOSA-lijst van de actueel erkende diensten met erkennings- en vervaldatum is niet gevonden.

Volgens CSAM doen onder meer de sociale zekerheid, diverse instellingen van de gezondheidszorg, Justitie, de regio's en lokale besturen een beroep op CSAM voor de toegang tot hun onlinediensten^[4]. Volgens itsme verliep in 2023 bijna 68% van alle FAS-authenticaties via itsme, 16% via de eID en 16% via andere methoden^[13].

Wie beheert het

CSAM is een initiatief van zes federale instanties: de RSZ, FOD BOSA (DG DT), FOD Financiën, de Kruispuntbank van de Sociale Zekerheid (Kruispuntbank van de Sociale Zekerheid (KSZ)), FOD Economie en FOD Binnenlandse Zaken^[4]. Het strategisch beheer ligt bij een Beheercomité met de hoogste verantwoordelijken van elke sponsor; daarnaast bestaan een Beheergroep en een Strategisch Gebruikerscomité^[4].

Artikel 9 van de wet van 18 juli 2017 inzake elektronische identificatie belast FOD BOSA met het aanbieden van elektronische aanmeldingsdiensten voor overheidstoepassingen binnen de authenticatiedienst^[3]. Op dat artikel steunt ook de verwerking van persoonsgegevens binnen FAS, die DG Vereenvoudiging en Digitalisering van FOD BOSA uitvoert^[2].

• Indirecte afhankelijkheid: de aanmelding van zorgverleners en patiënten via de eHealth IDP, I.AM Connect en de app Mijngezondheid loopt via FAS^[5][14][6]; een storing of wijziging van een FAS-sleutel raakt daardoor ook zorgtoepassingen (interpretatie).
• Identificatienummer: een toepassing achter FAS krijgt het rijksregisternummer enkel als de organisatie daartoe gemachtigd is^[2].
• Eigen authenticatie in zorg op afstand: bij teleconsultatie mag een aanbieder een eigen systeem gebruiken dat aan cumulatieve voorwaarden voldoet, waaronder een eenmalige registratie met een FAS-middel van minstens het niveau dat het Beheerscomité van het eHealth-platform vastlegt^[18] (de overige voorwaarden staan op Authenticatie in de zorg).

1. Mogelijk verouderd kader: de recentst gevonden versie van het FAS Assurance Framework is 1.2 van 26 september 2022^[1], van vóór de MyGov.be-app en Smart-ID als sleutel^[7][8]; of er een recentere versie bestaat, is niet nagegaan.
2. Single sign-on: de beperking tot publieke of private diensten staat in de versie van 2022^[1]; of ze nog geldt, is niet nagegaan.
3. Erkende private sleutels: de erkenning van itsme en Smart-ID is enkel bekend via itsme zelf en een nieuwsbericht^[13][8]; een primaire BOSA-bron is niet gevonden.
4. Code via token: het einde op 31 januari 2024 steunt op een aankondiging in een secundaire blog van december 2023^[10].
5. Niveau van MyGov.be: FAS geeft hoog met pincode en substantieel met biometrie^[2], de eHealth IDP-specificatie enkel hoog^[5].