Besluit tot wijziging van het ministerieel besluit van 31 oktober 2023 tot uitvoering van het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector

De Vlaamse minister van Mobiliteit en Openbare Werken,

Gelet op het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector;

Gelet op het ministerieel besluit van 31 oktober 2023 tot uitvoering van het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector, gewijzigd bij het ministerieel besluit van 17 juli 2024;

Gelet op het advies van de Inspectie van Financiën, gegeven op 12 januari 2025, om 09.12 uur, met referentie IF/2025/117;

Gelet op het akkoord van de Vlaamse minister, bevoegd voor de Begroting, van 4 februari 2025;

Overwegende dat verduidelijking en actualisering van de begripsbepalingen, de subsidiabele kosten, de beoordelingscriteria en de rapporteringsverplichtingen noodzakelijk zijn om de doelstellingen inzake interoperabiliteit en informatieveiligheid in de stedelijke mobiliteitssector te versterken;

Besluit:

INHOUDSTAFEL

Hoofdstuk 1. Wijzigingen van het ministerieel besluit van 31 oktober 2023 tot uitvoering van het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector
Hoofdstuk 2. Slotbepalingen

Hoofdstuk 1. Wijzigingen van het ministerieel besluit van 31 oktober 2023 tot uitvoering van het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector

Artikel 1. ( 01/03/2025 - Aanvulling definities )

In artikel 1 van het ministerieel besluit van 31 oktober 2023 tot uitvoering van het besluit van de Vlaamse Regering van 6 oktober 2023 tot toekenning van steun voor implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling in de stedelijke mobiliteitssector, het laatst gewijzigd bij het ministerieel besluit van 17 juli 2024, worden, in alfabetische volgorde, de volgende begripsbepalingen ingevoegd:

1. "Beveiligingsprofiel 'SIG-MOB'": het technische en organisatorische eisenkader, vastgesteld door het Vlaams Datanutsbedrijf, dat minimumnormen oplegt inzake authenticatie, autorisatie, logging, sleutelbeheer en incidentmelding voor gegevensuitwisseling in de stedelijke mobiliteitssector, met een minimale logretentie van 185 dagen, gemeten in UTC;
2. "Datastandaard 'NMB-API 2.1'": de door het Vlaams Datanutsbedrijf gepubliceerde referentiespecificatie voor genormaliseerde mobiliteits-API’s, versie 2.1 of hoger, inclusief de toepassingsprofielen voor realtime en historische gegevens;
3. "Federated Mobility Data Space (FMDS)": het gedistribueerd stelsel van knooppunten, catalogi en afsprakenstelsels dat de gedeelde en gecontroleerde uitwisseling van mobiliteitsgegevens tussen publieke en private actoren faciliteert;
4. "Verklaring van conformiteit": de door een overeenkomstig artikel 12/1 erkende instantie afgeleverde verklaring waaruit blijkt dat een toepassing, dienst of interface conform is met een of meer in dit besluit bedoelde normen of profielen;
5. "Zeggenschap over gegevensstromen": het geheel van procedures, roltoewijzingen en technische maatregelen waardoor de verwerkingsverantwoordelijke stuurbare en aantoonbare controle uitoefent over de uitwisseling, bestemming en bewaartermijn van gegevens.

Artikel 2. ( 01/03/2025 - Uitbreiding subsidiabele kosten )

In artikel 4 van hetzelfde ministerieel besluit wordt paragraaf 2 vervangen door wat volgt:

"§2. De subsidiabele kosten omvatten, naast de in §1 bedoelde kosten, uitsluitend de volgende posten, voor zover ze rechtstreeks verband houden met de implementatie van interoperabele datastandaarden en beveiligde gegevensuitwisseling:

1. kosten voor conformiteitstesten en certificering ten aanzien van de Datastandaard 'NMB-API 2.1', DCAT-AP-VL 2.1 en het beveiligingsprofiel 'SIG-MOB';
2. kosten voor onafhankelijke penetratietesten, code-audits en kwetsbaarheidsscans uitgevoerd door een derde partij met aantoonbare deskundigheid, volgens ten minste OWASP ASVS 4.0.3 voor applicaties en PTES voor infrastructuur, met kwetsbaarheidsclassificatie op basis van CVSS v3.1;
3. licentie- en supportkosten voor sleutel- en certificaatbeheer, inclusief Hardware Security Modules en geaccrediteerde tijdstempeldiensten, die respectievelijk FIPS 140-3 Level 3 gecertificeerd zijn en door een eIDAS-gekwalificeerde vertrouwensdienstverlener worden geleverd;
4. kosten voor pseudonimisering, anonimisering en gegevensminimalisatie, voor zover ze aantoonbaar noodzakelijk zijn om gegevensdeling te realiseren;
5. opleidingskosten voor personeel inzake de toegepaste datastandaarden, informatieveiligheid en privacy by design, met een maximum van 5 procent van de totale projectuitgaven;
6. kosten voor aansluiting op het Federated Mobility Data Space (FMDS), inclusief de inrichting van catalogi en policy enforcement, met uitsluiting van reguliere werkingskosten."

Artikel 3. ( 01/03/2025 - Subsidiepercentages en -plafonds )

In artikel 6 van hetzelfde ministerieel besluit worden paragraaf 1 en paragraaf 2 vervangen door wat volgt:

"§1. Het basissteunpercentage bedraagt:

1. 60 procent voor kleine ondernemingen en lokale besturen met minder dan 50 VTE;
2. 50 procent voor middelgrote ondernemingen en lokale besturen met 50 tot en met 249 VTE;
3. 40 procent voor grote ondernemingen en samenwerkingsverbanden met 250 VTE of meer.

Het steunpercentage kan met 10 procentpunten worden verhoogd indien zowel de Datastandaard 'NMB-API 2.1' als DCAT-AP-VL 2.1 aantoonbaar en volledig worden toegepast op de opgeleverde interfaces en catalogi.

§2. De maximale steun bedraagt 350.000 euro per project en 1.200.000 euro per oproep. Een indiener kan per kalenderjaar maximaal twee projecten gesteund krijgen onder dit besluit."

Artikel 4. ( 01/03/2025 - Rapporterings- en meldingsplichten )

In artikel 9 van hetzelfde ministerieel besluit wordt een paragraaf 3 ingevoegd, die luidt als volgt:

"§3. De begunstigde voldoet aan de volgende rapporterings- en meldingsplichten:

1. kwartaalrapportering van de technische voortgang in DCAT-AP-VL 2.1.1-formaat, via het door de administratie aangeduide digitale loket, uiterlijk op de vijftiende kalenderdag van de maand volgend op elk kwartaal, met voorafgaande validatie tegen de door de administratie gepubliceerde SHACL-shapes (versie 2025-01);
2. onverwijlde, en uiterlijk binnen 48 uur na vaststelling, melding van beveiligingsincidenten die de vertrouwelijkheid, integriteit of beschikbaarheid van de betrokken gegevensstromen aantasten, aan CERT.VLAANDEREN en de administratie, met een eerste inschatting van impact en getroffen maatregelen;
3. jaarlijkse aanlevering van een bijgewerkte gegevensinventaris en verwerkingsregister conform de minimale sjablonen die de administratie ter beschikking stelt."

Artikel 5. ( 01/03/2025 - Beoordelingscriteria en weging )

In artikel 12 van hetzelfde ministerieel besluit wordt paragraaf 1 vervangen door wat volgt:

"§1. Projectaanvragen worden beoordeeld aan de hand van de volgende criteria en wegingen:

1. interoperabiliteitskwaliteit, met inbegrip van semantische en technische interoperabiliteit: 35 procent;
2. informatieveiligheid en gegevensbescherming, met inbegrip van toepassing van het beveiligingsprofiel 'SIG-MOB': 25 procent;
3. maatschappelijke en operationele impact in de stedelijke mobiliteitsketen: 20 procent;
4. governance en zeggenschap over gegevensstromen: 10 procent;
5. opschaalbaarheid en herbruikbaarheid binnen het FMDS: 10 procent.

Bij ex aequo krijgt het project met de hoogste score op het criterium interoperabiliteitskwaliteit voorrang."

Artikel 6. ( 01/03/2025 - Invoeging van artikel 12/1 betreffende conformiteitsbeoordeling )

In hetzelfde ministerieel besluit wordt, na artikel 12, een artikel 12/1 ingevoegd, dat luidt als volgt:

"Art. 12/1. Conformiteitsbeoordeling

§1. Vooraleer tot eindafname kan worden overgegaan, legt de begunstigde een Verklaring van conformiteit voor met betrekking tot:

1. de Datastandaard 'NMB-API 2.1' voor alle opgeleverde API-eindpunten;
2. DCAT-AP-VL 2.1 voor de datapublicaties en catalogi;
3. het beveiligingsprofiel 'SIG-MOB' voor de volledige uitwisselingsketen.

§2. De Verklaring van conformiteit wordt afgeleverd door een onafhankelijke instantie die is opgenomen op de door de administratie gepubliceerde lijst van erkende conformiteitsbeoordelaars.

§3. Indien de Verklaring van conformiteit onvolledig of ontoereikend is, kan de administratie een bijkomende toets door een tweede, andere erkende instantie opleggen. De kosten daarvan zijn subsidiabel binnen de grenzen van artikel 4, §2, 1°.

§4. De administratie kan steekproefsgewijs technische verificaties uitvoeren. De begunstigde verleent daartoe toegang tot testomgevingen, logbestanden en documentatie, met inachtneming van de vertrouwelijkheid en de geldende regelgeving."

Artikel 7. ( 01/03/2025 - Sancties bij niet-naleving )

In artikel 15 van hetzelfde ministerieel besluit wordt een paragraaf 4 toegevoegd, die luidt als volgt:

"§4. Bij vastgestelde niet-naleving van het beveiligingsprofiel 'SIG-MOB' of het ontbreken van aantoonbare uitwisselingslogs over de voorbije zes maanden, kan de toegekende steun proportioneel worden verminderd tussen 10 en 100 procent, naargelang de ernst en duur van de tekortkoming. Bij herhaalde of opzettelijke inbreuken wordt de steun volledig ingetrokken en teruggevorderd, vermeerderd met de wettelijke interesten."

Artikel 8. ( 01/03/2025 - Indiening en oproepkalender )

In artikel 3 van hetzelfde ministerieel besluit wordt paragraaf 1 vervangen door wat volgt:

"§1. Jaarlijks worden twee oproepen geopend voor het indienen van projectaanvragen:

1. van 1 februari tot en met 31 maart;
2. van 1 september tot en met 15 oktober.

Projectaanvragen worden uitsluitend digitaal ingediend via het door de administratie aangeduide loket. Onvolledige aanvragen worden onontvankelijk verklaard, onverminderd het recht van de administratie om de indiener eenmaal te verzoeken de aanvraag te vervolledigen binnen een termijn van tien kalenderdagen."

Artikel 9.

Dit artikel is nog niet in werking. Hieronder vindt u de eerste "toekomstige versie".

( Datum afhankelijk van externe gebeurtenis - publicatie van de door CEN aangewezen norm "CEN/TS 17931:2026" in het Publicatieblad van de Europese Unie )

In artikel 5 van hetzelfde ministerieel besluit wordt een paragraaf 5 ingevoegd, die luidt als volgt:

"§5. Binnen twaalf maanden na de bekendmaking van 'CEN/TS 17931:2026' in het Publicatieblad van de Europese Unie is de toepassing van de opvolgstandaard 'NMB-API 3.0' verplicht voor nieuwe implementaties die na die termijn in productie gaan. De administratie publiceert binnen drie maanden na de bekendmaking de migratierichtlijnen. Voor bestaande implementaties wordt een migratievenster van achttien maanden gehanteerd."

Hoofdstuk 2. Slotbepalingen

Artikel 10. ( 01/03/2025 - Inwerkingtreding )

Dit besluit treedt in werking op 1 maart 2025, met uitzondering van artikel 9, waarvan de inwerkingtreding afhankelijk is van de in dat artikel vermelde externe gebeurtenis.

Artikel 11. ( 01/03/2025 - Overgangsbepaling )

Projecten die werden goedgekeurd op basis van de bepalingen die van kracht waren vóór 1 januari 2025, blijven onderworpen aan die bepalingen, tenzij de begunstigde uiterlijk op 30 april 2025 schriftelijk verzoekt om dit besluit toe te passen. In dat geval past de administratie dit besluit integraal toe op het betrokken project, onverminderd eerder verworven rechten voor reeds vastgestelde en uitbetaalde steun.