Een trust anchor is de vertrouwenswortel in een digitaal identiteitssysteem: het gezaghebbende startpunt waarop alle partijen in een vertrouwensketen vertrouwen om te verifiëren dat attestaties, certificaten en identiteiten authentiek zijn. Onder Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, vormen trust anchors de basis van het Europese digitale identiteitsecosysteem. Ze maken het mogelijk dat organisaties en individuen geverifieerde identiteitsgegevens grensoverschrijdend kunnen uitwisselen via gecertificeerde EUDI-wallets. Dit artikel legt uit hoe trust anchors werken, wie er als zodanig kan optreden en wat dit in de praktijk betekent voor jouw organisatie als relying party.
Hoe past een trust anchor in de eIDAS 2.0-vertrouwensketen?
Een trust anchor is het startpunt waaruit al het vertrouwen in de keten wordt afgeleid. Wanneer een relying party, zoals een bank of overheidsdienst, een attestatie ontvangt, moet zij bevestigen dat die attestatie is uitgegeven door een legitieme, gemachtigde partij. De trust anchor is de entiteit waarvan de betrouwbaarheid zonder verdere verificatie wordt aangenomen, en waaruit alles in de keten kan worden gevalideerd.
Elke schakel in de keten kan worden geverifieerd door de bovenliggende schakel te controleren, helemaal terug tot de trust anchor aan de top. Onder eIDAS 2.0 is deze keten geformaliseerd via de nationale trusted lists: officiële registers die door EU-lidstaten worden bijgehouden conform ETSI TS 119 612 en die erkende vertrouwensdienstverleners en hun cryptografische certificaten vermelden. De EU List of Trusted Lists (LOTL) bundelt deze nationale lijsten op Europees niveau.
Wanneer een EUDI-wallet een attestatie presenteert aan een relying party, traceert die partij de herkomst van de attestatie terug door de keten. Als die keten leidt naar een erkende trust anchor op een nationale trusted list, wordt de attestatie als geldig beschouwd. Als de keten niet terug te herleiden is naar een vertrouwde wortel, wordt de attestatie afgewezen. Dit mechanisme maakt grensoverschrijdende digitale identiteitsverificatie binnen de EU op schaal mogelijk.
Welke rol speelt een trust anchor in het EUDI-wallet-ecosysteem?
In het EUDI-wallet-ecosysteem zorgen trust anchors ervoor dat elk stukje identiteitsdata dat via een wallet wordt opgeslagen en gedeeld, cryptografisch verifieerbaar is. Zonder een trust anchor heeft een relying party geen betrouwbare manier om te bevestigen dat een attestatie is uitgegeven door een gemachtigde bron.
Het ecosysteem omvat verschillende interacterende partijen: wallet providers, attestatie-uitgevers, relying parties en gebruikers. Elk van deze partijen moet de anderen in zekere mate vertrouwen. Trust anchors maken dit mogelijk door een gedeeld, verifieerbaar referentiepunt te bieden dat alle partijen kunnen raadplegen.
Verificatie van een attestatie beperkt zich daarbij niet tot het controleren van de cryptografische handtekening van de uitgever. Een volledige verificatie omvat drie afzonderlijke controles:
- Verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted list. Dit is de enige controle die volledig offline kan plaatsvinden.
- Controle van de intrekkingsstatus via statusinformatie van de uitgever. Dit vereist contact met een externe bron.
- Verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution.
In de praktijk betekent dit dat wanneer een gebruiker een attestatie presenteert vanuit zijn of haar EUDI-wallet, zoals bewijs van een beroepskwalificatie of een door de overheid uitgegeven identiteitsdocument, de ontvangende organisatie kan verifiëren dat de attestatie teruggaat naar een erkende trust anchor. Dit elimineert de noodzaak voor handmatige controles, herhaalde verificaties of directe relaties tussen elk paar partijen in het ecosysteem.
Belangrijk voorbehoud: de wallet kan gegevens over een beroepskwalificatie dragen, maar de juridische erkenning van die kwalificatie volgt uit Richtlijn 2005/36/EG, niet uit de wallet zelf. eIDAS 2.0 regelt de technische en juridische geldigheid van de attestatie, niet de sectorale erkenning van wat daarin staat.
Voor organisaties die actief zijn in de financiële dienstverlening of andere gereguleerde sectoren is dit bijzonder relevant. Het accepteren van attestaties die zijn verankerd aan een nationale trusted list bouwt verificatie in het proces in, maar ontslaat de relying party niet van een zelfstandige AVG-grondslag voor de verwerking van de ontvangen persoonsgegevens.
Wie kan optreden als trust anchor onder eIDAS 2.0?
Onder eIDAS 2.0 zijn trust anchors doorgaans gekwalificeerde vertrouwensdienstverleners (QTSPs) of overheidsinstanties die zijn opgenomen op de nationale trusted list van een EU-lidstaat. Dit zijn entiteiten die zijn beoordeeld, gecertificeerd en formeel erkend als zijnde in overeenstemming met de vereisten die zijn vastgelegd in Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen.
De volgende typen entiteiten kunnen optreden als trust anchor binnen het eIDAS 2.0-kader:
- Nationale overheden en publieke autoriteiten die officiële identiteitsattestaties uitgeven, zoals nationale identiteitskaarten of elektronische identificatieschema’s
- Gekwalificeerde vertrouwensdienstverleners (QTSPs) die zijn beoordeeld door een geaccrediteerde conformiteitsbeoordelingsinstantie en zijn opgenomen op een nationale trusted list
- Wallet providers wier wallet solution officieel is gecertificeerd en aangemeld onder het eIDAS 2.0-kader
- Authentieke bronnen, zoals officiële registers of publiekrechtelijke instanties, die gemachtigd zijn om geverifieerde attributen over individuen of organisaties uit te geven als PuB-EAA
Niet elke organisatie die deelneemt aan het ecosysteem komt in aanmerking als trust anchor. Relying parties consumeren vertrouwde attestaties, maar treden zelf niet op als trust anchor. Het onderscheid is significant: een trust anchor moet formeel worden erkend en geregistreerd op een nationale trusted list, terwijl een relying party zich onder CIR (EU) 2025/848 moet registreren bij de bevoegde nationale autoriteit voordat walletdata kan worden opgevraagd. Dit zijn twee verschillende registers met verschillende functies.
Wat is het verschil tussen een trust anchor en een vertrouwensdienstverlener?
Het belangrijkste verschil zit in reikwijdte en functie. Een vertrouwensdienstverlener (TSP) is elke entiteit die digitale vertrouwensdiensten aanbiedt, zoals elektronische handtekeningen, certificaten of tijdstempels. Een trust anchor is een specifieke rol binnen een vertrouwensketen: de entiteit waarvan de publieke sleutel of het certificaat als inherent betrouwbaar wordt aanvaard en geen verdere verificatie vereist. Alle trust anchors in de eIDAS 2.0-context zijn vertrouwensdienstverleners, maar niet alle vertrouwensdienstverleners treden op als trust anchor.
Concreter: een QTSP kan attestaties of certificaten uitgeven voor elektronische handtekeningen. Die certificaten vormen onderdeel van een vertrouwensketen. De trust anchor is de root-certificaatautoriteit aan de top van die keten, waarvan het certificaat is gepubliceerd op een nationale trusted list en wordt aanvaard als de ultieme vertrouwensbron.
Er is ook een regulatoir onderscheid. Vertrouwensdienstverleners zijn gereguleerde entiteiten onder eIDAS 2.0 en moeten aan specifieke vereisten voldoen om te kunnen opereren. QTSPs worden geconfronteerd met strengere vereisten en ondergaan onafhankelijke conformiteitsbeoordelingen. Trust anchors, in de context van het EUDI-wallet-ecosysteem, zijn specifiek die entiteiten waarvan het cryptografisch materiaal is gepubliceerd in de nationale trusted lists of, voor wallet-specifieke vertrouwensinfrastructuur, in de Lists of Trusted Entities (LoTE).
Houd daarbij de nationale registers van wallet-relying parties, ingesteld via CIR (EU) 2025/848, gescheiden van deze trusted lists. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt pas relevant wanneer de relying party bijvoorbeeld een gekwalificeerde elektronische handtekening (QES) wil verwerken of gekwalificeerde attestaties wil ontvangen.
Voor organisaties die digitale identiteitsoplossingen bouwen of daarmee integreren, is dit onderscheid bepalend voor hoe je jouw verificatieprocessen structureert en op welke partijen je vertrouwt.
Hoe verifiëren organisaties in de praktijk een trust anchor?
Organisaties verifiëren een trust anchor door de cryptografische certificaatketen van een attestatie of handtekening te controleren aan de hand van de nationale trusted lists, die door elke lidstaat worden bijgehouden en beschikbaar worden gesteld in een gestandaardiseerd machineleesbaar formaat conform ETSI TS 119 612. De EU List of Trusted Lists (LOTL) biedt het overkoepelende toegangspunt.
Het verificatieproces werkt doorgaans als volgt:
- Ontvang de attestatie of het certificaat: De organisatie ontvangt een attestatie, elektronische handtekening of ander vertrouwensdragend artefact van een gebruiker of tegenpartij.
- Extraheer de certificaatketen: De attestatie bevat een keten van cryptografische certificaten die deze terugkoppelt aan de uitgevende autoriteit.
- Controleer de keten aan de hand van de nationale trusted list: Het verificatiesysteem controleert of het rootcertificaat in de keten overeenkomt met een trust anchor die is vermeld op de relevante nationale trusted list.
- Valideer de intrekkingsstatus en de geldigheidsperiode: Het systeem bevestigt ook dat het certificaat van de trust anchor niet is ingetrokken en nog binnen de geldigheidsperiode valt. Deze stap vereist contact met een externe bron en kan niet volledig offline plaatsvinden.
- Verifieer de wallet unit attestation: Het systeem stelt vast dat de presenterende wallet draait op een gecertificeerde wallet solution. Ook dit vereist een externe raadpleging.
- Accepteer of wijs de attestatie af: Als de keten teruggaat naar een geldige, geregistreerde trust anchor en de overige controles slagen, wordt de attestatie geaccepteerd. Zo niet, dan wordt deze afgewezen.
Dit proces is grotendeels geautomatiseerd in moderne identiteitsverificatiesystemen. Organisaties hoeven niet handmatig vertrouwenslijsten te controleren voor elke transactie. In plaats daarvan integreert hun software met de relevante vertrouwensinfrastructuur en voert deze controles uit. Voor organisaties in sectoren zoals overheidsdiensten of de gezondheidszorg is deze geautomatiseerde verificatie essentieel voor het verwerken van grote aantallen identiteitsinteracties.
Het EUDI-wallet-ecosysteem introduceert daarnaast aanvullende vertrouwensinfrastructuur die specifiek is voor wallets, zoals de Lists of Trusted Entities (LoTE) voor gecertificeerde wallet solutions en geregistreerde uitgevers van attestaties. Organisaties die binnen dit ecosysteem opereren, moeten ervoor zorgen dat hun verificatiesystemen zijn afgestemd op deze registers, naast de bestaande nationale trusted lists en de LOTL.
Registratie als relying party onder CIR (EU) 2025/848 is een afzonderlijke verplichting. Per intended use registreert een relying party welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Wat de ID Connector van TrustTech doet voor relying parties in het EUDI-wallet-ecosysteem
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector:
- Verificatie tegen nationale trusted lists en de LOTL, zodat de handtekening van de uitgever van een attestatie altijd wordt gecontroleerd aan de hand van de juiste vertrouwenswortel
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van het volledige verificatieproces
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken aan de wallet binnen de grenzen blijven van wat is geregistreerd onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata binnen diensten, waardoor gebruikers geverifieerde attributen kunnen delen via meerdere toepassingen
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt via een gekwalificeerde vertrouwensdienstverlener
De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheidsdiensten. Publieke instanties moeten vanaf 24 december 2026 genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor relevante gereguleerde private sectoren geldt de acceptatieplicht onder artikel 5f van eIDAS 2.0 vanaf 24 december 2027, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Verken onze implementatieaanpak of neem contact op met ons team om te bespreken wat trust anchor-integratie via de ID Connector betekent voor jouw organisatie.