Een gekwalificeerde verlener van vertrouwensdiensten (QTSP) is een verlener van vertrouwensdiensten die door een toezichthoudend orgaan in een EU-lidstaat de gekwalificeerde status heeft gekregen, na een conformiteitsbeoordeling aan de hand van de vereisten uit Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0. eIDAS 2.0 wijzigt Verordening (EU) 910/2014 en introduceert een uitgebreid kader voor digitale identiteit en vertrouwensdiensten. De gekwalificeerde status is het hoogste erkenningsniveau dat een verlener van vertrouwensdiensten onder EU-recht kan bereiken, en geeft aan dat de aanbieder voldoet aan strenge technische, beveiligings- en organisatorische normen. Dit artikel beantwoordt de meest gestelde vragen over QTSP’s: wat zij doen, hoe zij verschillen van gewone aanbieders en waarom hun status relevant is voor jouw organisatie.
Wat kwalificeert een verlener van vertrouwensdiensten onder eIDAS 2.0?
Een verlener van vertrouwensdiensten wordt een gekwalificeerde verlener van vertrouwensdiensten onder eIDAS 2.0 door met succes een conformiteitsbeoordeling te doorlopen die wordt uitgevoerd door een geaccrediteerde conformiteitsbeoordelingsinstantie, en door de gekwalificeerde status te ontvangen van de nationale toezichthoudende autoriteit in zijn lidstaat. Na toekenning wordt de aanbieder opgenomen in de nationale trusted list, die in de gehele EU wordt gepubliceerd en erkend.
De vereisten voor de gekwalificeerde status zijn gedetailleerd en veeleisend. Onder eIDAS 2.0 moeten aanbieders aantonen dat zij voldoen aan specifieke normen op het gebied van beveiligingsbeheer, betrouwbaarheid van personeel, technische infrastructuur en continuïteit van dienstverlening. De bijgewerkte verordening heeft aanvullende uitvoeringshandelingen ingevoerd die vereisten specificeren op gebieden zoals protocollen en interfaces, certificering van wallet solutions en het beheer van op afstand gekwalificeerde aanmaakapparaten voor elektronische handtekeningen. Deze vereisten weerspiegelen het bredere toepassingsgebied van eIDAS 2.0 ten opzichte van de oorspronkelijke verordening.
Belangrijk is dat de gekwalificeerde status geen eenmalige prestatie is. Aanbieders moeten regelmatig audits ondergaan om hun status te behouden en moeten hun toezichthoudend orgaan informeren voordat zij nieuwe gekwalificeerde vertrouwensdiensten starten. Deze voortdurende verantwoording is wat de QTSP-aanduiding zinvol en betrouwbaar maakt.
Welke diensten kan een gekwalificeerde verlener van vertrouwensdiensten aanbieden?
Een gekwalificeerde verlener van vertrouwensdiensten kan een gedefinieerde reeks gekwalificeerde vertrouwensdiensten aanbieden onder eIDAS 2.0. Deze diensten hebben het hoogste juridische gewicht binnen het EU-kader en worden in alle lidstaten geaccepteerd zonder aanvullende verificatie.
Het aanbod van gekwalificeerde vertrouwensdiensten omvat:
- Gekwalificeerde elektronische handtekeningen (QES): Het digitale equivalent van een handgeschreven handtekening. Artikel 25, lid 2, van eIDAS 2.0 bepaalt dat een QES dezelfde rechtskracht heeft als een handgeschreven handtekening.
- Gekwalificeerde elektronische zegels: Gebruikt door organisaties om de herkomst en integriteit van een document of gegevensset te garanderen. Een gekwalificeerd elektronisch zegel heeft een ander juridisch effect dan een handtekening en mag niet als equivalent daarvan worden beschreven.
- Gekwalificeerde elektronische tijdstempels: Het op juridisch erkende wijze koppelen van een nauwkeurige datum en tijd aan gegevens.
- Gekwalificeerde certificaten voor websiteauthenticatie: Het bevestigen van de identiteit van een websitebeheerder aan gebruikers.
- Gekwalificeerde diensten voor elektronische aangetekende bezorging: Het bieden van juridisch erkend bewijs van verzending en ontvangst van gegevens.
- Gekwalificeerde bewaringsdiensten: De langetermijnbewaring van gekwalificeerde elektronische handtekeningen en zegels.
- Gekwalificeerde elektronische grootboeken: Een dienst geïntroduceerd onder eIDAS 2.0 die tamper-evident registraties biedt.
- Gekwalificeerde elektronische archiveringsservices: Het waarborgen van de langetermijnintegriteit en toegankelijkheid van elektronische documenten.
- Beheer van op afstand gekwalificeerde aanmaakapparaten voor elektronische handtekeningen: Een nieuwe categorie geïntroduceerd in eIDAS 2.0, die ondertekening op afstand mogelijk maakt met behoud van de vereiste beveiligingsniveaus.
Deze uitgebreide lijst onder eIDAS 2.0 weerspiegelt hoe digitale interacties zich hebben ontwikkeld. De oorspronkelijke eIDAS-verordening omvatte een kleinere reeks diensten, maar het bijgewerkte kader erkent dat organisaties vertrouwde infrastructuur nodig hebben voor een veel breder scala aan digitale processen.
Hoe verschilt een QTSP van een gewone verlener van vertrouwensdiensten?
Het belangrijkste verschil tussen een gekwalificeerde verlener van vertrouwensdiensten en een niet-gekwalificeerde verlener van vertrouwensdiensten is het niveau van juridische erkenning en de strengheid van het toezicht waaraan zij onderworpen zijn. Een gewone verlener van vertrouwensdiensten kan vertrouwensdiensten aanbieden zonder conformiteitsbeoordeling, terwijl een QTSP onafhankelijk is geauditeerd en formeel is erkend door een nationale toezichthoudende autoriteit.
In de praktijk heeft dit onderscheid aanzienlijke gevolgen:
- Juridisch vermoeden: Diensten die door een QTSP worden geleverd, dragen een juridisch vermoeden van geldigheid in de gehele EU. Een gekwalificeerde elektronische handtekening heeft op grond van artikel 25, lid 2, dezelfde rechtskracht als een handgeschreven handtekening. Niet-gekwalificeerde handtekeningen dragen dit vermoeden niet automatisch. Nationale vormvereisten blijven van toepassing: eIDAS 2.0 bepaalt de rechtskracht van elektronische handtekeningen, maar niet automatisch of iedere transactie daarmee rechtsgeldig kan worden gesloten.
- Grensoverschrijdende erkenning: Gekwalificeerde vertrouwensdiensten worden automatisch erkend in alle EU-lidstaten. Niet-gekwalificeerde diensten worden mogelijk niet in andere rechtsgebieden geaccepteerd zonder aanvullende verificatie. Diensten uit derde landen worden niet automatisch binnen de EU erkend.
- Opname in de trusted list: Alleen QTSP’s verschijnen op de nationale trusted lists, die worden gepubliceerd door lidstaten conform ETSI TS 119 612 en op EU-niveau worden samengebracht in de EU List of Trusted Lists (LOTL). Dit maakt het voor organisaties en personen eenvoudig om de status van een aanbieder te verifiëren.
- Audit en verantwoording: QTSP’s zijn onderworpen aan regelmatige conformiteitsbeoordelingen en moeten beveiligingsincidenten melden bij hun toezichthoudend orgaan. Niet-gekwalificeerde aanbieders opereren onder lichtere vereisten.
Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening, gezondheidszorg of de overheid is het onderscheid niet alleen technisch. Samenwerken met een QTSP betekent vertrouwen op diensten die juridisch standhouden, grensoverschrijdend worden geaccepteerd en voldoen aan de nalevingsverwachtingen van toezichthouders. Het hergebruik van KYC-gegevens wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, ook wanneer een QTSP betrokken is.
Wie houdt toezicht op gekwalificeerde verleners van vertrouwensdiensten?
Gekwalificeerde verleners van vertrouwensdiensten staan onder toezicht van een nationale toezichthoudende instantie in elke EU-lidstaat. Elk land wijst zijn eigen autoriteit aan die verantwoordelijk is voor het toezicht op verleners van vertrouwensdiensten, het verlenen van de gekwalificeerde status, het bijhouden van de nationale trusted list en het reageren op beveiligingsincidenten of niet-naleving.
Onder eIDAS 2.0 is het toezichtskader versterkt. Toezichthoudende instanties opereren nu onder duidelijkere verplichtingen en termijnen, en de verordening introduceert formele vereisten voor de manier waarop zij meldingen verwerken, collegiale toetsingen van eID-stelsels uitvoeren en informatie over gekwalificeerde aanbieders publiceren. De uitvoeringshandelingen die eIDAS 2.0 vergezellen, stellen ook specifieke formaten en procedures vast voor de jaarlijkse rapportage door toezichthoudende instanties, wat de transparantie van het toezichtsproces verder vergroot.
Op Europees niveau houdt de Europese Commissie toezicht op het bredere kader, inclusief de publicatie van de EU List of Trusted Lists die nationale trusted lists samenvoegt. Dit creëert een gelaagd systeem van verantwoording: nationale autoriteiten handelen het dagelijkse toezicht af, terwijl het EU-kader zorgt voor consistentie en grensoverschrijdende erkenning.
Voor organisaties die een QTSP kiezen, is deze toezichtsstructuur een praktische geruststelling. De gekwalificeerde status van de aanbieder is onafhankelijk geverifieerd, openbaar zichtbaar via de trusted list en onderworpen aan voortdurend toezicht.
Waarom is de QTSP-status belangrijk voor organisaties die digitale identiteitsdiensten gebruiken?
De QTSP-status is direct van invloed op de juridische geldigheid, grensoverschrijdende acceptatie en naleving van regelgeving van de digitale identiteits- en ondertekeningsdiensten waarop jouw organisatie vertrouwt. Als jouw processen afhankelijk zijn van elektronische handtekeningen, identiteitsverificatie of vertrouwde gegevensuitwisseling, bepaalt de gekwalificeerde status van jouw aanbieder of die interacties juridisch standhouden en worden geaccepteerd door tegenpartijen, toezichthouders en overheidsinstanties in de gehele EU.
Voor organisaties in sectoren zoals financiële dienstverlening of gezondheidszorg is dit bijzonder relevant. Regelgeving zoals AML, KYC en PSD2 vereist verifieerbare en controleerbare identiteitsprocessen. eIDAS 2.0 voegt daar aanvullende vereisten aan toe, met name rondom het gebruik van de EUDI-wallet en de vertrouwensdiensten die dit ondersteunen. Vertrouwen op een QTSP zorgt ervoor dat jouw organisatie werkt binnen een kader dat toezichthouders erkennen en accepteren. Hergebruik van KYC-gegevens blijft daarbij onderworpen aan AML-regelgeving en sectorale regels, ongeacht de betrokkenheid van een QTSP.
Er is ook een praktische dimensie. Wanneer jouw klanten of partners hun identiteit al hebben geverifieerd via een vertrouwde bron, maakt een door QTSP ondersteunde infrastructuur het mogelijk die geverifieerde identiteit veilig opnieuw te gebruiken, waardoor wrijving wordt verminderd en herhaalde verificatiestappen worden voorkomen. Dit sluit aan op de opzet van het EUDI-wallet-ecosysteem: een eenmaal geverifieerde persoon of organisatie kan elders worden vertrouwd, mits de onderliggende vertrouwensdiensten voldoen aan de gekwalificeerde standaard. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren voor identificatie. Een QTSP wordt relevant wanneer gekwalificeerd tekenen of gekwalificeerde attestaties vereist zijn.
Naarmate eIDAS 2.0 het digitale identiteitslandschap in Europa verder hervormt, zijn organisaties die hun processen bouwen op gekwalificeerde vertrouwensinfrastructuur beter gepositioneerd om zich aan te passen wanneer nieuwe vereisten van kracht worden. Het gekwalificeerde kader legt de basis voor schaalbare, toekomstbestendige digitale interacties.
Hoe de ID Connector van TrustTech aansluit op gekwalificeerde vertrouwensinfrastructuur
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. De oplossingen van TrustTech zijn specifiek gebouwd om organisaties verbinding te laten maken met gekwalificeerde vertrouwensinfrastructuur, zonder dat bestaande systemen volledig opnieuw moeten worden ingericht.
De ID Connector ondersteunt concreet:
- Verificatie van uitgevershandtekeningen tegen de nationale trusted lists en de EU List of Trusted Lists, zodat alleen attestaties van erkende uitgevers worden geaccepteerd
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, als aanvulling op handtekeningverificatie
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de scope die een relying party heeft geregistreerd onder CIR (EU) 2025/848 worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata, waardoor gebruikers niet bij iedere dienst opnieuw volledig hoeven te worden geverifieerd
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde verlener van vertrouwensdiensten
Dit is relevant voor overheidsorganisaties die vanaf 24 december 2026 verplicht zijn genotificeerde EUDI-wallets te accepteren voor onlinediensten waarvoor elektronische identificatie vereist is, en voor gereguleerde private sectoren zoals financiële dienstverlening, gezondheidszorg en farmaceutica, waarvoor artikel 5f van eIDAS 2.0 per 24 december 2027 van toepassing wordt.
Neem contact op met TrustTech om te zien wat de ID Connector concreet betekent voor jouw organisatie en jouw integratie met gekwalificeerde digitale identiteitsinfrastructuur.