OIN Stelsel 2.1.0

Het nummer wordt opgenomen in het PKIoverheidcertificaat - als inhoud van het attribuut Subject.serialNumber -  en wordt daarnaast gebruik in de adressering van berichten.

Het unieke nummer werd het OIN, het Overheidsorganisatie Identificatie Nummer. De KVK – beheerder van het Handelsregister (HR) – adviseerde om het nummer op het FI-nummer te baseren. In het Handelsregister waren echter in die tijd niet alle overheidsorganisaties opgenomen die in het kader van de elektronische overheid van belang waren. Zo hadden allerlei zelfstandige onderdelen van een ministerie, zoals de Belastingdienst en Douane, geen eigen FI-nummer.

Voor het gebruik van Digikoppeling was echter afgesproken dat organisaties én onderdelen van organisaties die berichten willen uitwisselen met een andere overheid, en daartoe zelfstandig contracten afsluiten, een identificerend nummer moeten krijgen, ook als dat onderdeel niet beschikt over een eigen FI-nummer. Besloten werd dat Logius het OIN ging uitdelen. Op termijn zou dan mogelijk altijd met een FI-nummer gewerkt kunnen worden, wanneer al die zelfstandige onderdelen ook in het Handelsregister zouden worden opgenomen. [bron document "Evaluatie OIN uitgiftev2", 2010]

Ook voor private organisatie was een nummer noodzakelijk voor digitale gegevensuitwisseling met de overheid. Het OIN stond toen nog voor Overheidsidentificatienummer en liet niet toe dat ook deze partijen zich inschreven in het OIN register. Logius heeft daarom met de certificaatuitgevers aparte afspraken gemaakt om in het verplicht te gebruiken PKIoverheidcertificaat een nummer te laten opnemen volgens de structuur van het OIN.

Alle overheden in Nederland hebben een RSIN wat gebruikt kon worden om een OIN op te baseren. Voor een private organisatie werd niet het RSIN gebruikt, maar haar KVK-nummer. Dit nummer kreeg de naam Handelsregisternummer (HRN). Het HRN is een virtueel nummer. Bij de aanvraag van een PKIoverheid-certificaat zal de Trust Service Provider (TSP), bij ontbreken van een OIN, het identificerend nummer bij de creatie van het certificaat zelf afleiden op basis van het KVK-nummer uit het Handelsregister op gelijke wijze als bij de afleiding van het OIN. Het HRN wordt echter niet vastgelegd in een publiek raadpleegbare registratie.

In 2010 werd door de KVK door een wetswijziging het nieuwe Handelsregister in gebruik genomen, waarin meer overheidsorganen, zoals de ministeries, ingeschreven konden worden. Het door Logius onderhouden OIN register bleef daarnaast bestaan. Het register bevatte inmiddels naast in het HR ingeschreven organisatie ook registraties van organisatie-onderdelen en voorzieningen en overheidsorganisaties die zich niet kunnen inschrijven in het HR. In 2014 is een publieke website gelanceerd waarin iedereen het OIN van een organisatie kon opzoeken.

In 2016 zijn na brede afstemming met gebruikers de regels verduidelijkt van wie in aanmerking kwam voor een OIN en SubOINs.  De onderbouwing van de regels werden vastgelegd in het document OIN stelsel v1. De spelregels van het OIN zijn vastgelegd in de Voorwaarden Digikoppeling en de Gebruiksvoorwaarden Digikoppeling.

Logius heeft sinds 2017 een aantal wijzigingen doorgevoerd in de ontsluiting van het OIN register:

• in 2017 werd de OIN website hernoemd in en uitgebreid naar de Centrale OIN Raadpleegvoorziening (COR). De COR toont op de website naast de OINs ook de (Hoofd)OIN-houder indien die aanwezig is.

• De aanduiding of de vermelde OIN voor eFacturatie gebruikt kon worden is verwijderd, op verzoek van Logius;

• in 2018 is op verzoek van een aantal organisaties een RESTful API toegevoegd waarmee het OIN register online bevraagd kan worden. De website bleef ongewijzigd;

• in 2019 is aan het OIN register een aantal identificerende nummers toegevoegd, de BG codes voor gemeente en de CBS codes voor Waterschappen en Provincies. Deze gegevens zijn enkel via de COR API opvraagbaar.

• in 2020 dient Logius een voorstel in dat mogelijk maakt dat privaatrechtelijke partijen met een publieke taak en privaatrechtelijke partijen ten behoeve van (SAAS-)dienstverlening aan hun publieke klanten SubOINs’s kunnen aanvragen.

• in 2020 wordt voor het UZI register prefix '00000009' gereserveerd

• De nieuwe voorstellen zijn na openbare consultatie vastgesteld door het Technisch Overleg Digikoppeling. Op 1 januari 2021 zijn de Voorwaarden Digikoppeling en de Gebruiksvoorwaarden Digikoppeling gepubliceerd.

• in 2023 is besloten het OIN te baseren op het KVK-nummer. Alleen als een organisatie geen KVK-nummer heeft wordt het OIN gebaseerd op het RSIN. Hiermee komt het OIN overeen met het HRN wat een gebruiker zelf kan afleiden. Veel uitgegeven OIN nummers waren al gebaseerd op het KVK-nummer omdat dat in de COR software al was ingebouwd. Bestaande nummers worden niet aangepast.

Logius definieert dit bergip in de [Algemene Voorwaarden Logius] als volgt:

Een publiekrechtelijke of privaatrechtelijke organisatie, of college of een persoon met een publieke taak of bevoegdheid, die voor de uitoefening van die publieke taak elektronisch verkeer met andere overheden en burgers en/of bedrijven wenselijk acht en daarbij gebruik kan en mag maken van één of meer Diensten van Logius.

Een afnemer van een OIN kan zowel een aanbieder van diensten zijn als een organisatie die gebruikmaakt van diensten van andere organisaties.On der het begrip afnemer van een OIN vallen ook organisaties die beschreven zijn in de Algemene wet Bestuursrecht, zoals de Tweede en Eerste Kamer.

Stakeholders bij het gebruik van het OIN-Stelsel zijn in beginsel alle partijen die gebruik maken van het OIN en SubOIN en/of bijbehorende Centrale OIN raadpleegvoorziening (COR) én de partijen die een rol hebben bij het beheer van het OIN.

Het ministerie van BZK (BZK) is opdrachtgever van Logius en eigenaar van het OIN-stelsel. Als eigenaar draagt BZK ook verantwoordelijkheid voor toezicht en audits over de centrale voorziening en afspraken.

Logius beheert het OIN Stelsel. Het OIN valt onder de Digikoppeling Standaard. Het Centrum voor Standaarden, van Logius is beheerder van de Digikoppeling standaard en voert ook het beheer over van het OIN-stelsel, voorwaarden en overeenkomsten.

Logius beheert de Centrale OIN Raadpleegvoorziening (COR). Logius Team Interfaces, onderdeel van het Productiehuis van Logius voert het dagelijks beheer en de doorontwikkeling uit van de COR. Logius heeft de zorgplicht om de COR online toegankelijk te houden voor de gebruikers van de COR.

De registerhouder beheert een overheidsregister en waarborgt de kwaliteit van de te raadplegen nummers en bijbehorende gegevens. Voor elke entiteit die is opgenomen in het overheidsregister is duidelijk wie de verantwoordelijke rechtspersoon is. De verantwoordelijke rechtspersoon is herkenbaar aan de hand van het identificerende nummer (RSIN, KVK-nummer of OIN). Het register heeft geborgd dat als de rechtspersoon ophoudt te bestaan, de registratie van de entiteit vervalt.

Een overheidsorganisatie die door Logius de status is verleend van SubOIN-beheerder en die op basis van geldige registraties met unieke identificerende nummers in de sectorregistratie die deze voor de uitvoering van zijn publiekrechtelijke taak beheert, voor eigen rekening en risico, SubOIN’s kan laten aanmaken, toekennen, beheren, corrigeren of intrekken.

De SubOIN-beheerder draagt zorg voor de registratie van SubOINs voor organisaties die niet in een aangesloten register voorkomen maar die wel bij een broninstantie of op basis van brondocumenten kunnen worden geïdentificeerd en geverifieerd. De SubOIN-beheerder is verantwoordelijk voor het doorgeven van mutaties.

Een TSP geeft certificaten uit conform de eisen uit het PvE van PKIoverheid. Daarmee zijn zij verantwoordelijk voor de betrouwbaarheid van de genoemde certificaten. De TSP's doen met het oog op het uitgeven van een certificaat onderzoek naar de identiteit van de organisatie en de tekenbevoegdheid van de aanvragers van een certificaat. De voorwaarden hiervoor zijn beschreven in het PvE PKIo PvE. Tevens controleren zij de identiteit van de aanvrager op grond van een face to face controle. De TSP raadpleegt het OIN van de aanvrager via de COR en neemt dit nummer en naam op in het PKIoverheid certificaat.

De OIN-houder is een rechtspersoon met een publieke taak, die gebruik maakt van het OIN. Slechts een OIN-houder kan een SubOIN aanvragen voor een organisatie, organisatie-onderdeel of voorziening. De OIN houder is er verantwoordelijk voor dat de gegevens die gekoppeld aan zijn OIN en SubOIN juist zijn, en blijven.

In dit document gebruiken we de term OIN-houder voor een organisatie die is ingeschreven in het handelregister en OINs of SubOINs aanvraagt en beheert. De Voorwaarden Digikoppeling en Gebruiksvoorwaarden Digikoppeling heeft het niet over OIN-houders maar gebruiken de begrippen afnemer en gebruiker.

Logius PKIoverheid is beheerder van het Programma van Eisen van PKIoverheid en Policy Authority (toezichthouder) op de TSP's.

Onderstaand schema beschrijft op welke manier organisaties een OIN of SubOINs bij Logius kunnen aanvragen

Het gebruik van een Organisatie Identificatienummer (OIN) beoogt rechtspersonen en niet-rechtspersonen te identificeren ten behoeve van digitale berichtenverkeer met de overheid.

Een OIN is -waar mogelijk- afgeleid van bestaande identificerende nummers uit het Handelsregister.

Rechtspersonen en samenwerkingsverbanden Dit zijn de samenwerkingsverbanden die zich conform de Hrw in kunnen schrijven in het Handelsregister. worden ex art.6 Handelsregisterwet (Hrw) ingeschreven in het Handelsregister, en kunnen dus worden geïdentificeerd ten behoeve van het gebruik van het OIN. Tevens kunnen de in art. 1:2 Algemene wet bestuursrecht (Awb) omschreven overheidsorganen, die niet in het Handelsregister kunnen worden ingeschreven, een OIN verkrijgen.

Buitenlandse rechtspersonen en organisaties die niet ingeschreven kunnen worden in een Nederlands overheidsregister, maar wel voldoen aan de vereisten voor een PKIoverheidscertificaat, kunnen bij een SubOIN-beheerder een aanvraag indienen voor een OIN. Na controle door een SubOIN-beheerder kunnen deze buitenlandse organisaties een OIN krijgen.

Organisaties, organisatieonderdelen en/of voorzieningen die niet in een aangesloten overheidsregister voorkomen, komen mogelijk toch in aanmerking voor een OIN. (In enkel bijzondere gevallen ook voor een OIN. Het gaat dan om het OIN dat wordt toegekend aan een onderdeel van de Staat der Nederlanden). Deze worden geregistreerd in het OIN-register. Een SubOIN is een identificerend nummer voor niet-rechtspersonen. Het SubOIN heeft dezelfde structuur als het OIN. Een SubOIN is altijd herleidbaar tot een rechtspersoon die is ingeschreven in het Handelsregister en valt onder de juridische verantwoordelijkheid van deze rechtspersoon.

De OIN-houder is een rechtspersoon met een publieke taak die gebruik maakt van het OIN. Slechts de OIN-houder kan een OIN aanvragen voor een organisatie, een organisatieonderdeel of een voorziening die onder zijn juridische verantwoordelijkheid valt. De Voorwaarden Digikoppeling en Gebruiksvoorwaarden Digikoppeling heeft het niet over OIN-houders maar gebruiken de begrippen afnemer en gebruiker. De OIN-houder zal zich ervan moeten vergewissen dat hij middels juridische afspraken – zoals bijvoorbeeld statuten, een overeenkomst, een inschrijving in een register en/of een mandaatbesluit – juridische verantwoordelijkheid kan dragen voor het handelen van de organisatie of organisatieonderdeel, die gaat beschikken over een OIN. Een eis is dat de functionaris, die de aanvraag voor een OIN doet, tekenbevoegd is.

De OIN-houder heeft een zorgplicht met betrekking tot het handelen door de houder van het OIN, voor zover dit handelen betrekking heeft op de elektronische berichtenuitwisseling waarbij gebruik wordt gemaakt van het OIN en bijbehorende SubOINs.

Als een organisatie geregistreerd is in een aangesloten register (niet het Handelsregister), dan kan het identificerend nummer uit dit register worden gebruikt als SubOINs. Daarmee is een aangesloten register in feite een register van SubOINs voor een specifieke doelgroep.

De TSP neemt een OIN of SubOIN op in een PKIoverheidscertificaat. Hiervoor wordt het Subject.serialNumber veld van het certificaat gebruikt.

De beheerder van het OIN-stelsel controleert op basis van signalen en steekproefsgewijs de naleving van de OIN-voorwaarden en de ondertekende aanvraagformulieren met de OIN–houders, die SubOINs uitgeven.

De beheerder van het OIN-stelsel controleert de naleving van de overeenkomsten, af te sluiten met de SubOIN-beheerders en met de registratiehouders.

De opdrachtgever BZK beoordeelt binnen het regulier toezicht op de beheerder van het OIN-stelsel in hoeverre de OIN-voorwaarden en overeenkomsten nageleefd worden door de betrokken contractspartijen.

Het OIN is aangemeld en opgenomen in in ICD Codelist: (zie https://docs.peppol.eu/pracc/catalogue/1.0/codelist/ICD/). Het OIN is geregistreerd onder code id 0190 met de volgende beschrijving

Organisatie Indentificatie Nummer (OIN)

The OIN is part of the Dutch standard ‘Digikoppeling’ and is used for identifying the organisations that take part in electronic message exchange with the Dutch Government. The OIN must also be included in the PKIo certificate.

De COR bestaat uit een publiek toegankelijk gedeelte en een besloten gedeelte. Het publiek toegankelijke deel wordt ontsloten door een website en een webservice met een Restful API.

Enkel daarvoor aangewezen medewerkers van Logius hebben toegang tot het besloten gedeelte van de COR.

De beheerder van de COR registreert in het besloten gedeelte van de COR:

• Het uitgeven van een nieuw OIN en SubOIN.

• Het intrekken van een bestaand OIN of SubOIN.

• Het verlengen van de geldigheidsdatum van een OIN of SubOIN

• Het verlengen van een OIN of SubOIN die was ingetrokken na de standaard geldigheidsduur

• Wijzigingen in de registratie van organisatie(onderdelen) of voorzieningen.

het OIN of SubOIN is pas openbaar toegankelijk, nadat de beheerder van de COR het OIN heeft gepubliceerd. Het OIN of SubOIN bezit dan de status Actief. De COR toont ook OIN en SubOINs die ingetrokken zijn.

De beheerder van het OIN-stelsel bepaalt welke overheidsregisters onderdeel uitmaken van de OIN-systematiek. De beheerder van het OIN-stelsel maakt afspraken over het gebruik van deze registers met de registratiehouders. De registratiehouders zijn verantwoordelijk voor de kwaliteit van gegevens en voor de beschikbaarheid van het register.

De COR API is publiek beschikbaar voor systemen. De beheerder van de COR kan de toegang reguleren, bijvoorbeeld door het verstrekken van zogenaamde API-keys, of door gebruik te maken van tweezijdig TLS.

De beheerder van de COR is verantwoordelijk voor de privacybescherming van persoonsgegevens in de COR en de informatiebeveiliging met betrekking tot de COR, en komt derhalve de van toepassingzijnde wet – en regelgeving na.

De beheerder van de COR is verantwoordelijk voor de goede werking van de COR, het bieden van ondersteuning bij het gebruik van de CORen de beschikbaarheid van het systeem. De beheerder van de COR is verantwoordelijk voor het correct vastleggen van (Sub)OINs en bijbehorende gegevens in de COR, zoals die worden aangeleverd door de aanvrager.

De beheerder van de COR is niet verantwoordelijk voor de kwaliteit van de geregisteerde OIN gegevens. De rechtspersonen aan wie SubOINs zijn uitgegeven hebben een zorgplicht met betrekking tot de inhoud van de geregistreerde gegevens in de COR. Bij twijfel over de juistheid van geregistreerde gegevens kan de beheerder van de COR maatregelen nemen om de kwaliteit van subnummer registraties te toetsen en desgewenst te herstellen. De beheerder van de COR is niet verantwoordelijk voor de kwaliteit van de gegevens uit de aangesloten overheidsregisters.

De OIN-houder vraagt een PKIoverheidscertificaat aan ten behoeve van identificatie/authenticatie, signing of encryptie. De TSP verstrekt het PKIoverheidcertificaat aan de houder van het OIN. Als een PKI Overheid certificaat wordt aangevraagd door de OIN-houder ten behoeve van een OIN-houder, dan neemt de TSP daarin het OIN op en de bijbehorende naam uit het OIN-register.

Een deelnemer binnen een (publiek) samenwerkingsverband zonder rechtspersoonlijkheid mag een OIN uitgeven aan het samenwerkingsverband, mits de betreffende deelnemer een rechtpersoon is en zelf een OIN heeft. De deelnemer wordt dan SubOIN-beheerder. Het samenwerkingverband mag zelf geen rechtspersoon zijn en nog geen OIN of SubOIN hebben. De deelnemers dienen onderling te borgen dat de aanvrager is gemandateerd om een aanvraag te doen namens de overige deelnemers.

De OIN-houder moet alle mutaties met betrekking tot de SubOINs doorgeven aan Logius, beheerder van de COR.

De OIN-houder is verplicht een OIN in te trekken in de COR, indien het voor frauduleus handelen kan worden of wordt gebruikt, of de betreffende organisatie of organisatieonderdeel ophoudt te bestaan of overgaat naar een andere organisatie of rechtspersoon. Daarnaast beschikken de SubOIN-beheerders en Logius over de bevoegdheid tot het intrekken van SubOINs.

De beheerder van een overheidsregister borgt dat wijzigingen worden gecontroleerd en worden doorgevoerd zodat een OIN alleen kan worden gebruikt zolang de registratie in het overheidsregister geldig is en de rechtspersoon bestaat. het OIN van de entiteit is altijd herleidbaar tot de juridisch verantwoordelijke rechtspersoon.

De door de SubOIN-beheerder uitgegeven SubOINs hebben een geldigheidsduur van drie jaar. SubOINs kunnen worden verlengd door de SubOIN-beheerder via een verzoek aan Logius.

Als het KVK-nummer of RSIN vervalt, vervalt het OIN. Als het OIN vervalt, mogen de daaraan gerelateerde SubOINs niet meer worden gebruikt, en moeten deze worden ingetrokken.

Logius maakt afspraken met registerhouders over het gebruik van overheidsregisters ten behoeve van het kunnen raadplegen van deze registers via de COR.Registers kunnen worden aangesloten op het OIN-stelsel indien ze voldoen aan de volgende voorwaarden:

• Er is een juridische grondslag voor het register.

• Er is een beheerder die het inhoudelijk en technisch beheer voert.

• De beheerder controleert de identiteit van de rechtspersoon aan de hand van het Handelsregister.

• Het identificerende nummer is gekoppeld aan een rechtspersoon.

• Het overheidsregister is publiek raadpleegbaar.

• Er is een webservice beschikbaar.

De COR Website retourneert een relevante attributen van een OIN-registratie. Hieronder twee schermvoorbeelden:

Hieronder een voorbeeld van een REST-API call naar de COR API. In het voorbeeld wordt het OIN van de Digilevering Integrator opgevraagd, dit is een voorziening van Logius. Naast het OIN van de Digilevering Integrator, wordt ook een HAL referentie naar de SubOIN-Houder (in dit geval Logius) geretourneerd. Het gebruik van de API staat verder beschreven op de COR API website.