Besluit tot wijziging van het besluit van de Vlaamse Regering van 7 december 2018 tot normering van sommige interoperabiliteitsakkoorden in bepaalde telecommunicatie-inrichtingen en -diensten, wat betreft de implementatie van de referentiearchitectuur voor cyclus 2026 en de verhoogde innovatiepremie voor de private sector

Hoofdstuk 1. Wijzigingen van het besluit van de Vlaamse Regering van 7 december 2018 tot normering van sommige interoperabiliteitsakkoorden in bepaalde telecommunicatie-inrichtingen en -diensten

Artikel 1. ( 15/03/2025 - Begripsbepalingen cyclus 2026 )

In het besluit van de Vlaamse Regering van 7 december 2018 tot normering van sommige interoperabiliteitsakkoorden in bepaalde telecommunicatie-inrichtingen en -diensten, het laatst gewijzigd bij het besluit van 19 september 2024, wordt in hoofdstuk 1 na artikel 1 een artikel 1/1 ingevoegd, dat luidt als volgt:
"Art. 1/1. Voor de toepassing van dit besluit en inzonderheid voor cyclus 2026, worden de volgende begrippen vastgesteld:
1° referentiearchitectuur 2026 of RA-VL 2026: het door de Vlaamse Regering vastgestelde geheel van principes, standaarden, protocollen en governancebepalingen die de interoperabiliteit tussen telecommunicatie-inrichtingen en -diensten binnen het Vlaams Gewest voor cyclus 2026 waarborgen;
2° cyclus 2026: de periode van 1 januari 2026 tot en met 31 december 2026 waarin de RA-VL 2026 verplicht van toepassing is op de in dit besluit bepaalde doelgroepen;
3° conformiteitsvalidatie: de technische en organisatorische toetsing aan de RA-VL 2026 op basis van een door de Vlaamse overheid erkend validatiekader;
4° erkend conformiteitslaboratorium: een rechtspersoon die door de Vlaamse overheid is erkend om conformiteitsvalidaties en -testen uit te voeren ten aanzien van de RA-VL 2026;
5° innovatiepremie private sector: een financiële ondersteuning, toegekend door de Vlaamse overheid aan private ondernemingen met exploitatiezetel in het Vlaams Gewest, ter stimulering van de versnelde en kwalitatief hoogwaardige implementatie van de RA-VL 2026;
6° interoperabiliteitsakkoord: een schriftelijke overeenkomst tussen twee of meer aanbieders of beheerders van telecommunicatie-inrichtingen en -diensten waarin de voorwaarden voor gegevens- en dienstuitwisseling conform de in dit besluit vastgelegde normen worden vastgelegd.".

Artikel 2. ( 15/03/2025 - Verplichte implementatie RA-VL 2026 )

In hetzelfde besluit wordt in hoofdstuk 2 een artikel 7/1 ingevoegd, dat luidt als volgt:
"Art. 7/1. Verplichte implementatie van de RA-VL 2026
§1. De volgende entiteiten implementeren de RA-VL 2026 uiterlijk op 1 januari 2026 in hun telecommunicatie-inrichtingen en -diensten die binnen het toepassingsgebied van dit besluit vallen:
- aanbieders van vaste en mobiele openbare elektronische communicatienetwerken die actief zijn binnen het Vlaams Gewest;
- beheerders van datacenters die diensten hosten voor Vlaamse overheidsinstanties of publiekrechtelijke instellingen onder Vlaams toezicht;
- exploitanten van bedrijfskritieke communicatienetwerken in de sectoren energie, water, mobiliteit en gezondheidszorg met dienstverlening in Vlaanderen;
- dienstverleners die als intermediair optreden in de uitwisseling van signalerings-, identiteit- of routeringsinformatie tussen voornoemde entiteiten.
§2. Interoperabiliteitsakkoorden die na 31 augustus 2025 worden gesloten, herzien of verlengd, voldoen integraal aan de bepalingen van de RA-VL 2026.
§3. Voor bestaande interoperabiliteitsakkoorden die vóór 1 september 2025 rechtsgeldig tot stand zijn gekomen, geldt een overgangstermijn tot 1 juli 2026. Uiterlijk op die datum worden de akkoorden aangepast aan de RA-VL 2026, behoudens in de gevallen bedoeld in artikel 7/2.
§4. De technische minimumvereisten omvatten ten minste end-to-end-versleuteling volgens TLS 1.3 of hoger (met verplichte ondersteuning van TLS_AES_256_GCM_SHA384 en TLS_CHACHA20_POLY1305_SHA256), DNSSEC-validatie (met ten minste validatie van algoritme 13 (ECDSA P-256/SHA-256) of 8 (RSA/SHA-256) aan de valideerzijde), IPv6-bereikbaarheid (minimaal een /56 per locatie voor aanbieders, waarbij link-local alleen niet volstaat voor beheerinterfaces), geharmoniseerde API-specificaties met OAuth 2.1 of hoger voor authenticatie en autorisatie (met verplicht gebruik van PKCE voor public clients), en gegevensserialisatie volgens JSON of ASN.1 BER/DER (waarbij JSON-berichten UTF-8 zonder BOM zijn gecodeerd), zoals nader bepaald in bijlage 3.
§5. Digitaal Vlaanderen publiceert uiterlijk op 15 september 2025 de referentie-implementaties, testprofielen en conformatierapportformaten die voor de toepassing van deze paragraaf worden gehanteerd, om 12.00 uur lokale tijd via de officiële broncode-repository op repository.vlaanderen.be, voorzien van een semantische versietag '2025.9.0'.".

Artikel 3. ( 15/03/2025 - Uitzonderingen en afwijkingen )

In hetzelfde besluit wordt in hoofdstuk 2 een artikel 7/2 ingevoegd, dat luidt als volgt:
"Art. 7/2. Uitzonderingen, afwijkingen en tijdelijke compenserende maatregelen
§1. De bevoegde minister kan, op gemotiveerde aanvraag, een tijdelijke afwijking van maximaal twaalf maanden toestaan op de in artikel 7/1, §§1 en 3, bedoelde termijnen indien:
- de betrokken entiteit aantoont dat de implementatie disproportionele technische hinderpalen of veiligheidsrisico's inhoudt die niet binnen de voorziene termijnen kunnen worden verholpen; en
- een realistisch migratieplan met duidelijke mijlpalen en mitigaties is voorgelegd en aanvaard door Digitaal Vlaanderen.
§2. Tijdens de periode van afwijking treft de betrokken entiteit compenserende maatregelen die een gelijkwaardig niveau van interoperabiliteit en informatiebeveiliging waarborgen, zoals nader omschreven in bijlage 3.
§3. Afwijkingen op grond van §1 kunnen enkel worden verleend nadat een erkend conformiteitslaboratorium een tussentijds conformatierapport heeft opgesteld waaruit blijkt welke tekortkomingen resteren en welke maatregelen worden voorzien om deze binnen de afwijkingstermijn op te heffen, opgesteld op basis van testuitvoeringen die niet ouder zijn dan 45 kalenderdagen en met tijdsynchronisatie van de testomgevingen tot ±100 milliseconden via NTS (RFC 8915).
§4. Afwijkingen kunnen worden herroepen indien de entiteit het migratieplan niet naleeft of indien de risico-inschatting wijzigt op een wijze die de openbare dienstverlening of -veiligheid in het gedrang brengt.".

Artikel 4. ( 15/03/2025 - Conformiteitsvalidatie en rapportering )

In hetzelfde besluit wordt in hoofdstuk 3 een artikel 12/1 ingevoegd, dat luidt als volgt:
"Art. 12/1. Conformiteitsvalidatie, rapportering en erkenning van laboratoria
§1. Entiteiten als bedoeld in artikel 7/1 laten vóór productiegebruik een conformiteitsvalidatie uitvoeren door een erkend conformiteitslaboratorium en bezorgen het conformatierapport aan Digitaal Vlaanderen binnen tien werkdagen na afronding, in het door Digitaal Vlaanderen vastgelegde formaat 'RA-VL-CRF v1.2' en digitaal ondertekend met een eIDAS-gekwalificeerde handtekening.
§2. Jaarlijks en uiterlijk op 31 maart bezorgen de betrokken entiteiten een actualisatieverslag aan Digitaal Vlaanderen met betrekking tot:
- de status van implementatie van de RA-VL 2026;
- de toegepaste referentie-implementaties en versies;
- incidenten die verband houden met interoperabiliteit en de genomen remediëringsmaatregelen.
§3. De Vlaamse Regering stelt de erkenningsvoorwaarden vast voor conformiteitslaboratoria, waaronder minimaal: aantoonbare ervaring met testautomatisatie, informatiebeveiligingscertificering op niveau ISO/IEC 27001 of gelijkwaardig, en organisatorische onpartijdigheid.
§4. Digitaal Vlaanderen publiceert geaggregeerde en geanonimiseerde monitoringsindicatoren over de mate van conformiteit en de doorlooptijden van migraties, met inachtneming van vertrouwelijkheidsverplichtingen.".

Artikel 5. ( 15/03/2025 - Innovatiepremie voor de private sector )

In hetzelfde besluit wordt in hoofdstuk 4 een artikel 18/1 ingevoegd, dat luidt als volgt:
"Art. 18/1. Innovatiepremie voor de private sector in het kader van RA-VL 2026
§1. Private ondernemingen met een exploitatiezetel in het Vlaams Gewest die investeringen doen voor de implementatie of migratie naar de RA-VL 2026, kunnen een innovatiepremie aanvragen.
§2. Subsidiabele kosten omvatten:
- architectuur- en ontwerpactiviteiten die rechtstreeks verband houden met de RA-VL 2026;
- ontwikkeling en integratie van referentie-API's en beveiligingscomponenten zoals bepaald in bijlage 3;
- conformiteitstesten en -certificering door een erkend conformiteitslaboratorium;
- migratie- en uitrolkosten, met inbegrip van opleiding van personeel dat de implementatie uitvoert.
§3. De basisintensiteit van de innovatiepremie bedraagt 30% van de subsidiabele kosten, met een maximum van 250.000 euro per project en maximaal twee projecten per onderneming per cyclus.
§4. De innovatiepremie wordt verhoogd tot 40% indien de onderneming uiterlijk op 31 maart 2026 een positief conformatierapport voorlegt en aantoont dat de productie-implementatie uiterlijk op 30 april 2026 werd gerealiseerd.
§5. Cumulatie met andere Vlaamse steun is toegestaan tot een totale steunintensiteit van 50% van de subsidiabele kosten. Europese en federale steunmaatregelen worden in rekening gebracht bij de berekening van dit plafond.
§6. De middelen voor de innovatiepremie worden aangewend binnen de perken van de door de Vlaamse Regering jaarlijks goedgekeurde begrotingskredieten voor het beleidsdomein Bestuurszaken en Digitaal Vlaanderen.
§7. De Vlaamse Regering bepaalt nadere regels inzake aanvraag, selectie, toekenning, controle en terugvordering.".

Artikel 6. ( 15/03/2025 - Sancties bij niet-naleving )

In hetzelfde besluit wordt in hoofdstuk 3 een artikel 13/1 ingevoegd, dat luidt als volgt:
"Art. 13/1. Administratieve sancties
§1. Bij vaststelling van niet-naleving van artikel 7/1 na het verstrijken van de toepasselijke termijnen, kan een administratieve geldboete worden opgelegd van 10.000 euro tot 250.000 euro per vastgestelde inbreuk, evenredig met de ernst en duur van de inbreuk.
§2. Vooraleer een geldboete wordt opgelegd, wordt een formele aanmaning betekend met een hersteltermijn van maximaal zestig dagen. Bij het uitblijven van herstel binnen deze termijn kan de geldboete gelijktijdig met een last onder dwangsom worden opgelegd.
§3. Bij herhaalde inbreuken binnen een periode van twaalf maanden kan de maximaal op te leggen geldboete worden verdubbeld.
§4. De procedure voor vaststelling en beslechting van administratieve sancties wordt vastgesteld door de Vlaamse Regering en waarborgt het recht van verdediging en een doeltreffend beroep.".

Artikel 7. ( 15/03/2025 - Bijlage 3: Technische specificatie RA-VL 2026 )

In hetzelfde besluit wordt een bijlage 3 ingevoegd, die luidt als volgt:
"Bijlage 3. Technische specificatie RA-VL 2026
1. Architectuurprincipes: scheiding van lagen (presentatie, logica, data), losse koppeling via gestandaardiseerde interfaces, en preferentie voor open standaarden.
2. Netwerk- en transportlaag: IPv6-only met dual-stack overgang waar nodig; TLS 1.3 of hoger verplicht voor alle externe interfaces; DNSSEC-verplichte validatie voor alle gerelateerde domeinen.
3. Identiteit en toegang: OAuth 2.1 of hoger voor autorisatie; OpenID Connect voor authenticatie; verplichte ondersteuning van fine-grained scopes en token-intrekking; logische scheiding van identity providers en service providers.
4. API-specificaties: RESTful-interfaces met versiebeheer in het URI-pad; consistent gebruik van HTTP-statuscodes; gegevensserialisatie in JSON (RFC 8259) of ASN.1 BER/DER indien legacy-interworking vereist is; verplichte publicatie van machineleesbare API-documentatie (OpenAPI 3.1).
5. Berichtenbeveiliging en logging: end-to-end-integriteit en -vertrouwelijkheid; tijdstempeling met NTP over authenticated mode (bij voorkeur NTS (RFC 8915) met een maximale toelaatbare tijdsafwijking van 250 milliseconden ten opzichte van de referentiebron); beveiligde, onveranderbare auditlogs gedurende minimum zeven jaar.
6. Conformiteitstesten: testprofielen en -cases gepubliceerd door Digitaal Vlaanderen; minimale succesratio van 98% op kritieke testcases; regressietesten verplicht bij elke majeure versie-upgrade.
7. Uitzonderingsmaatregelen: tijdelijke compenserende controles voor componenten die nog geen volledige RA-VL 2026-ondersteuning bieden, waaronder protocolgateways en policy enforcement-points, mits documentatie en voorafgaande goedkeuring.
8. Interoperabiliteitsakkoorden: verplichte clausules inzake versiebeheer, incidentafhandeling, sleutelbeheer, service levels en beëindigingsmechanismen conform dit besluit.".

Hoofdstuk 2. Slotbepalingen

Artikel 8. ( 15/03/2025 - Inwerkingtreding )

Dit besluit treedt in werking op 1 maart 2025, met uitzondering van:
- artikel 2, dat in werking treedt op 1 september 2025 voor wat betreft artikel 7/1, §2, en op 1 januari 2026 voor wat betreft artikel 7/1, §1;
- artikel 3, dat in werking treedt op 1 september 2025;
- artikel 4, dat in werking treedt op 1 december 2025;
- artikel 5, dat in werking treedt op 1 juli 2025;
- artikel 6, dat in werking treedt op 1 oktober 2026;
- artikel 7, dat in werking treedt op 1 september 2025.

Artikel 9. ( 15/03/2025 - Uitvoering )

De Vlaamse minister, bevoegd voor Bestuurszaken en Innovatie, is belast met de uitvoering van dit besluit.