Een trust anchor is de vertrouwenswortel in een digitaal identiteitssysteem: het gezaghebbende startpunt waarop alle partijen in een vertrouwensketen vertrouwen om te verifiëren dat credentials, certificaten en identiteiten authentiek zijn. Onder eIDAS 2.0 vormen trust anchors de basis van het gehele Europese Digitale Identiteitsecosysteem, waardoor organisaties en individuen met vertrouwen geverifieerde identiteitsgegevens grensoverschrijdend kunnen uitwisselen. Dit artikel legt uit hoe trust anchors werken, wie er als zodanig kan optreden en wat dit in de praktijk betekent voor uw organisatie.

Hoe past een trust anchor in de eIDAS 2.0-vertrouwensketen?

Een trust anchor past in de eIDAS 2.0-vertrouwensketen als het startpunt waaruit al het vertrouwen wordt afgeleid. Wanneer een vertrouwende partij, zoals een bank of overheidsdienst, een verifieerbare credential ontvangt, moet zij bevestigen dat de credential is uitgegeven door een legitieme, gemachtigde partij. De trust anchor is de entiteit waarvan de betrouwbaarheid zonder verdere verificatie wordt aangenomen, en waaruit alles in de keten kan worden gevalideerd.

Zie het als een keten van certificaten. Elke schakel in de keten kan worden geverifieerd door de bovenliggende schakel te controleren, helemaal terug tot de trust anchor aan de top. Onder eIDAS 2.0 is deze keten geformaliseerd via de EU Trusted Lists: officiële registers die worden bijgehouden door EU-lidstaten en die erkende vertrouwensdienstverleners en hun cryptografische certificaten vermelden.

Wanneer de EUDI Wallet een credential presenteert aan een vertrouwende partij, traceert die partij de herkomst van de credential terug door de keten. Als die keten leidt naar een erkende trust anchor op een EU Trusted List, wordt de credential als geldig beschouwd. Als de keten niet terug te herleiden is naar een vertrouwde wortel, wordt de credential afgewezen. Dit mechanisme maakt grootschalige grensoverschrijdende digitale identiteitsverificatie binnen de EU mogelijk.

Welke rol speelt een trust anchor in het EUDI Wallet-ecosysteem?

In het EUDI Wallet-ecosysteem spelen trust anchors een centrale rol bij het waarborgen dat elk stukje identiteitsdata dat via een wallet wordt opgeslagen en gedeeld, cryptografisch kan worden geverifieerd. Zonder een trust anchor is er geen betrouwbare manier voor een vertrouwende partij om te bevestigen dat een credential is uitgegeven door een gemachtigde bron in plaats van een frauduleuze.

Het EUDI Wallet-ecosysteem omvat verschillende interacterende partijen: walletaanbieders, credential-uitgevers, vertrouwende partijen en gebruikers. Elk van deze partijen moet de anderen in zekere mate vertrouwen. Trust anchors maken dit mogelijk door een gedeeld, verifieerbaar referentiepunt te bieden dat alle partijen kunnen raadplegen.

In de praktijk betekent dit dat wanneer een gebruiker een credential presenteert vanuit hun EUDI Wallet — zoals bewijs van beroepskwalificatie of een door de overheid uitgegeven identiteitsdocument — de ontvangende organisatie direct kan verifiëren dat de credential teruggaat naar een erkende trust anchor. Dit elimineert de noodzaak voor handmatige controles, herhaalde verificaties of directe relaties tussen elk paar partijen in het ecosysteem. Het is wat het model “eenmalig verifiëren, overal hergebruiken” mogelijk maakt dat eIDAS 2.0 beoogt te ondersteunen.

Voor organisaties die actief zijn in de financiële dienstverlening of andere gereguleerde sectoren is dit bijzonder relevant. Het accepteren van identiteitscredentials die zijn verankerd aan een EU Trusted List betekent dat naleving van regelgevende vereisten is ingebouwd in het verificatieproces zelf.

Wie kan optreden als trust anchor onder eIDAS 2.0?

Onder eIDAS 2.0 zijn trust anchors doorgaans gekwalificeerde vertrouwensdienstverleners (QTSPs) of overheidsinstanties die zijn opgenomen op de Trusted List van een EU-lidstaat. Dit zijn entiteiten die zijn beoordeeld, gecertificeerd en formeel erkend als zijnde in overeenstemming met de strenge beveiligings- en operationele vereisten die zijn vastgelegd in de eIDAS-verordening.

De volgende typen entiteiten kunnen optreden als trust anchor binnen het eIDAS 2.0-kader:

• Nationale overheden en publieke autoriteiten die officiële identiteitscredentials uitgeven, zoals nationale identiteitskaarten of elektronische identificatieschema’s
• Gekwalificeerde vertrouwensdienstverleners (QTSPs) die zijn beoordeeld door een geaccrediteerde conformiteitsbeoordelingsinstantie en zijn opgenomen op een nationale Trusted List
• Walletaanbieders die officieel zijn gecertificeerd en aangemeld onder het eIDAS 2.0-kader
• Authentieke bronnen, zoals officiële registers of publiekrechtelijke instanties, die gemachtigd zijn om geverifieerde attributen over individuen of organisaties uit te geven

Het is belangrijk op te merken dat niet elke organisatie die deelneemt aan het ecosysteem in aanmerking komt als trust anchor. Vertrouwende partijen bijvoorbeeld consumeren vertrouwde credentials, maar treden zelf niet op als trust anchor. Het onderscheid is significant: een trust anchor moet formeel worden erkend en geregistreerd, terwijl een vertrouwende partij simpelweg geregistreerd moet zijn om credentials uit het ecosysteem te accepteren.

Wat is het verschil tussen een trust anchor en een vertrouwensdienstverlener?

Het belangrijkste verschil zit in reikwijdte en functie. Een vertrouwensdienstverlener (TSP) is elke entiteit die digitale vertrouwensdiensten aanbiedt, zoals elektronische handtekeningen, certificaten of tijdstempels. Een trust anchor is een specifieke rol binnen een vertrouwensketen: de entiteit waarvan de publieke sleutel of het certificaat als inherent betrouwbaar wordt aanvaard en geen verdere verificatie vereist. Alle trust anchors in de eIDAS 2.0-context zijn vertrouwensdienstverleners, maar niet alle vertrouwensdienstverleners treden op als trust anchor.

Concreter gezegd: een gekwalificeerde vertrouwensdienstverlener kan certificaten uitgeven voor elektronische handtekeningen. Die certificaten vormen onderdeel van een vertrouwensketen. De trust anchor is de root-certificaatautoriteit aan de top van die keten, waarvan het certificaat is gepubliceerd op een EU Trusted List en wordt aanvaard als de ultieme vertrouwensbron.

Er is ook een regulatoir onderscheid. Vertrouwensdienstverleners zijn gereguleerde entiteiten onder eIDAS 2.0 en moeten aan specifieke vereisten voldoen om te kunnen opereren. Gekwalificeerde TSPs worden geconfronteerd met nog strengere vereisten en ondergaan onafhankelijke conformiteitsbeoordelingen. Trust anchors, in de context van het EUDI Wallet-ecosysteem, zijn specifiek die entiteiten waarvan het cryptografisch materiaal is gepubliceerd in officiële vertrouwensinfrastructuur, zoals de EU Trusted Lists of de vertrouwensregisters van het walletecosysteem.

Voor organisaties die digitale identiteitsoplossingen bouwen of daarmee integreren, is het begrijpen van dit onderscheid van belang bij het bepalen op welke partijen u moet vertrouwen en hoe u uw verificatieprocessen structureert.

Hoe verifiëren organisaties in de praktijk een trust anchor?

In de praktijk verifiëren organisaties een trust anchor door de cryptografische certificaatketen van een credential of handtekening te controleren aan de hand van een gezaghebbende, openbaar beschikbare vertrouwenslijst. Onder eIDAS 2.0 is het primaire mechanisme hiervoor de EU Trusted Lists, die door elke lidstaat worden bijgehouden en beschikbaar worden gesteld in een gestandaardiseerd machineleesbaar formaat.

Het verificatieproces werkt doorgaans als volgt:

1. Ontvang de credential of het certificaat: De organisatie ontvangt een verifieerbare credential, elektronische handtekening of ander vertrouwensdragend artefact van een gebruiker of tegenpartij.
2. Extraheer de certificaatketen: De credential bevat een keten van cryptografische certificaten die deze terugkoppelt aan de uitgevende autoriteit.
3. Controleer de keten aan de hand van de EU Trusted List: Het verificatiesysteem van de organisatie controleert of het rootcertificaat in de keten overeenkomt met een trust anchor die is vermeld op de relevante EU Trusted List.
4. Valideer de status en de geldigheidsperiode: Het systeem bevestigt ook dat het certificaat van de trust anchor niet is ingetrokken en nog binnen de geldigheidsperiode valt.
5. Accepteer of wijs de credential af: Als de keten teruggaat naar een geldige, geregistreerde trust anchor, wordt de credential geaccepteerd. Zo niet, dan wordt deze afgewezen.

Dit proces is grotendeels geautomatiseerd in moderne identiteitsverificatiesystemen. Organisaties hoeven niet handmatig vertrouwenslijsten te controleren voor elke transactie. In plaats daarvan integreert hun software met de relevante vertrouwensinfrastructuur en voert deze controles in realtime uit. Voor organisaties in sectoren zoals overheidsdiensten of de gezondheidszorg is deze geautomatiseerde verificatie essentieel voor het verwerken van grote aantallen identiteitsinteracties zonder extra wrijving voor gebruikers.

Het is ook vermeldenswaard dat de EUDI Wallet-architectuur aanvullende vertrouwensregisters introduceert die specifiek zijn voor het walletecosysteem, zoals registers van gecertificeerde walletoplossingen en geregistreerde vertrouwende partijen. Organisaties die binnen dit ecosysteem opereren, moeten ervoor zorgen dat hun verificatiesystemen zijn afgestemd op deze nieuwere registers, naast de bestaande EU Trusted Lists.

Hoe TrustTech helpt met trust anchors en eIDAS 2.0-compliance

Trust anchors begrijpen is één ding. De juiste infrastructuur opzetten om ermee te werken is een ander. Daar komt TrustTech in beeld. TrustTech helpt organisaties in gereguleerde sectoren bij het navigeren door de technische en regulatoire complexiteit van eIDAS 2.0, zodat zij digitale identiteitsprocessen kunnen bouwen die veilig, compliant en klaar zijn voor het EUDI Wallet-ecosysteem.

Concreet ondersteunt TrustTech uw organisatie met:

• Aansluiting op de juiste vertrouwensinfrastructuur, inclusief EU Trusted Lists en walletecosysteemregisters, zodat uw verificatieprocessen altijd zijn afgestemd op erkende trust anchors
• Implementatie van verifieerbare credentials die cryptografisch zijn gekoppeld aan gekwalificeerde trust anchors, zodat uw credentials door de hele EU worden geaccepteerd
• Inschakeling van herbruikbare identiteitsstromen waarmee gebruikers eenmalig kunnen verifiëren en vertrouwde attributen kunnen delen via meerdere diensten, waardoor wrijving en afhaken worden verminderd
• Ondersteuning van compliance met eIDAS 2.0-vereisten, inclusief de technische specificaties voor walletinteroperabiliteit, gekwalificeerde vertrouwensdiensten en grensoverschrijdende identiteitsmatching
• Begeleiding van uw implementatie van strategie tot productie, met diepgaande expertise in zowel het regelgevingskader als de technische architectuur

Of u nu voorbereidt op de uitrol van de EUDI Wallet, integreert met bestaande eIDAS-conforme identiteitsschema’s, of nieuwe digitale onboardingstromen bouwt — TrustTech biedt de expertise en het platform om daar te komen. Verken onze implementatieaanpak of neem contact op met ons team om te bespreken wat trust anchor-integratie betekent voor uw organisatie.