Om een gekwalificeerde vertrouwensdienstverlener (QTSP) te worden, moet een organisatie voldoen aan een vastgesteld pakket technische, juridische en beveiligingsvereisten op grond van Verordening (EU) 2024/1183, een onafhankelijke conformiteitsbeoordeling doorstaan en formele erkenning ontvangen van het nationale toezichthoudende orgaan in haar EU-lidstaat. Het traject is gestructureerd en veeleisend, maar haalbaar met de juiste voorbereiding. Dit artikel behandelt de belangrijkste vragen die organisaties doorgaans stellen bij de start van dat traject.
Aan welke vereisten moet een organisatie voldoen om een QTSP te worden?
Om een gekwalificeerde vertrouwensdienstverlener te worden, moet een organisatie aantonen dat zij voldoet aan de vereisten van Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen van de Commissie. Deze hebben betrekking op technische beveiliging, organisatorische betrouwbaarheid, deskundigheid van personeel en het vermogen om trust services op een consistente en controleerbare wijze te leveren. Het voldoen aan deze vereisten is een voorwaarde voordat een formele aanvraag kan beginnen.
De kernvereisten beslaan meerdere gebieden:
- Technische beveiliging: Systemen moeten voldoen aan hoge zekerheidsnormen, waaronder het gebruik van gecertificeerde hard- en software voor het genereren en beheren van sleutels, en robuuste bescherming tegen inbreuken.
- Organisatorische maatregelen: De organisatie moet beschikken over duidelijke beleidsregels, procedures en governancestructuren voor het betrouwbaar leveren van trust services.
- Personeel en expertise: Medewerkers die betrokken zijn bij de levering van trust services moeten over de juiste technische kennis beschikken en gescreend zijn op betrouwbaarheid.
- Bedrijfscontinuïteit: Er moeten gedocumenteerde plannen zijn om de continuïteit van de dienstverlening te waarborgen bij verstoringen, inclusief beëindigingsplanning ter bescherming van relying parties en eindgebruikers.
- Incident- en inbreukbeheer: De organisatie moet over processen beschikken om beveiligingsincidenten te detecteren, te melden en hierop te reageren, in overeenstemming met de uitvoeringshandelingen inzake beveiligingsinbreuken.
- Nalevingsdocumentatie: Beleidsregels en praktijkverklaringen, zoals een Certificate Policy of Trust Service Practice Statement, moeten openbaar beschikbaar zijn en afgestemd zijn op relevante normen.
De specifieke technische normen die van toepassing zijn, hangen af van het type gekwalificeerde trust service dat de organisatie wil aanbieden. Gekwalificeerde elektronische handtekeningen, zegels, tijdstempels, aangetekende bezorgingsdiensten en certificaten voor websiteauthenticatie hebben elk hun eigen referentienormen die zijn vastgelegd in de uitvoeringshandelingen.
Hoe werkt het conformiteitsbeoordelings- en auditproces?
De conformiteitsbeoordeling is een onafhankelijke audit uitgevoerd door een geaccrediteerde conformiteitsbeoordelingsinstantie (CAB). Hierbij wordt beoordeeld of de organisatie en haar trust services voldoen aan alle toepasselijke vereisten van Verordening (EU) 2024/1183. De beoordeling resulteert in een conformiteitsbeoordelingsrapport, dat vervolgens wordt ingediend bij het nationale toezichthoudende orgaan als onderdeel van de aanvraag voor gekwalificeerde status.
De CAB moet zelf geaccrediteerd zijn binnen het nationale accreditatiekader, in overeenstemming met de uitvoeringshandeling inzake de accreditatie van conformiteitsbeoordelingsinstanties. De beoordeling omvat doorgaans de beveiligingspraktijken, technische infrastructuur, documentatie, deskundigheid van personeel en governance van de organisatie. Het is geen eenmalige controle: QTSP’s zijn onderworpen aan doorlopend toezicht en periodieke herbeoordeling om hun gekwalificeerde status te behouden.
Een grondige voorbereiding op de conformiteitsbeoordeling is een van de meest tijdrovende onderdelen van het proces. Organisaties die hun beleidsregels, technische architectuur en documentatie goed hebben gestructureerd voordat zij een CAB inschakelen, doorlopen het proces aanzienlijk sneller.
Welk nationaal toezichthoudend orgaan kent de gekwalificeerde status toe?
De status van gekwalificeerde vertrouwensdienstverlener wordt toegekend door het nationale toezichthoudende orgaan van de EU-lidstaat waarin de organisatie is gevestigd. Elke lidstaat wijst zijn eigen toezichthoudend orgaan aan op grond van Verordening (EU) 2024/1183, en dat orgaan is verantwoordelijk voor het bijhouden van de nationale trusted list, het toezicht op QTSP’s en het verwerken van kennisgevingen van de intentie om gekwalificeerde trust services te verlenen.
Het proces begint met de kennisgeving door de organisatie aan het toezichthoudende orgaan van haar voornemen om gekwalificeerde trust services te gaan verlenen, volgens de procedures die zijn vastgelegd in de relevante uitvoeringshandeling. Het toezichthoudende orgaan beoordeelt vervolgens het conformiteitsbeoordelingsrapport dat is ingediend door de geaccrediteerde CAB. Als aan de vereisten is voldaan, wordt de organisatie de gekwalificeerde status toegekend en toegevoegd aan de nationale trusted list, die onderdeel uitmaakt van het EU-brede kader van trusted lists zoals bedoeld in ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
Toezichthoudende organen in de verschillende lidstaten verschillen in hun processen, tijdlijnen en communicatiestijlen. Organisaties doen er goed aan vroegtijdig contact op te nemen met het relevante toezichthoudende orgaan om landspecifieke verwachtingen en eventuele aanvullende documentatievereisten te begrijpen.
Wat is het verschil tussen een vertrouwensdienstverlener en een gekwalificeerde vertrouwensdienstverlener?
Een vertrouwensdienstverlener (TSP) is elke organisatie die elektronische trust services aanbiedt, zoals digitale handtekeningen, certificaten of authenticatie. Een gekwalificeerde vertrouwensdienstverlener (QTSP) is een TSP die formeel is beoordeeld, goedgekeurd en opgenomen op een nationale trusted list op grond van Verordening (EU) 2024/1183. De gekwalificeerde aanduiding heeft juridisch gewicht en stelt de QTSP in staat diensten aan te bieden met een hogere mate van juridische erkenning in de hele EU.
Het praktische verschil is van groot belang voor de organisaties die op deze diensten vertrouwen. Trust services van een QTSP profiteren van een wettelijk vermoeden van geldigheid op grond van de verordening. Zo heeft een gekwalificeerde elektronische handtekening (QES) op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening in alle EU-lidstaten. Een gekwalificeerd elektronisch zegel heeft een ander juridisch effect en is geen equivalent van een handtekening. Diensten van een niet-gekwalificeerde TSP dragen dit vermoeden niet automatisch.
Voor organisaties in gereguleerde sectoren zoals financiën, gezondheidszorg of overheid is samenwerking met een QTSP vaak niet alleen wenselijk maar vereist. Veel regelgevingskaders en aanbestedingsregels schrijven expliciet het gebruik van gekwalificeerde trust services voor bij transacties met hoge zekerheidsbehoeften. Financiële dienstverleners zien toenemende verwachtingen rond het gebruik van gekwalificeerde handtekeningen en zegels in klantgerichte en interorganisatorische processen. Daarbij is het van belang te vermelden dat nationale vormvereisten nationaal recht blijven: de verordening bepaalt de rechtskracht van elektronische handtekeningen, maar niet automatisch of iedere transactie daarmee rechtsgeldig kan worden gesloten.
Hoe verandert Verordening (EU) 2024/1183 het traject naar QTSP-status?
Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) nr. 910/2014 en vergroot de reikwijdte van wat als trust service kwalificeert. Zij introduceert nieuwe categorieën die niet bestonden onder de oorspronkelijke verordening. Het traject naar QTSP-status is daarmee breder wat betreft de diensten die het kan omvatten, en tegelijkertijd gedetailleerder wat betreft de normen en uitvoeringshandelingen die van toepassing zijn.
De meest significante toevoegingen zijn gekwalificeerde elektronische grootboeken, gekwalificeerde elektronische archiveringsservices en het beheer van op afstand gekwalificeerde aanmaakapparaten voor handtekeningen, aangeduid als QSCD’s, als gekwalificeerde trust service. Elk hiervan heeft zijn eigen referentienormen en uitvoeringshandelingen, wat betekent dat organisaties die deze nieuwe categorieën betreden, te maken hebben met een goed gedefinieerd maar nieuw vastgesteld nalevingstraject. Remote signing bestond al onder de oorspronkelijke verordening; de wijzigingen preciseren en verbreden de kaders, maar maken cloud-gebaseerd tekenen niet voor het eerst mogelijk.
De verordening verscherpt ook de vereisten rond interoperabiliteit, rapportage en toezicht. De uitvoeringshandelingen inzake jaarverslagen van toezichthoudende organen en inzake collegiale toetsingen weerspiegelen een bredere beweging naar consistent, transparant toezicht in de hele EU. Voor organisaties die al actief zijn als vertrouwensdienstverlener onder de oorspronkelijke verordening, vereist de overgang naar gekwalificeerde status een zorgvuldige analyse van de kloof ten opzichte van de bijgewerkte vereisten.
De introductie van het EUDI-wallet-ecosysteem creëert ook nieuwe aanknopingspunten voor QTSP’s, met name rond de uitgifte en verificatie van gekwalificeerde elektronische attesten van attributen (QEAA’s). Organisaties die een rol willen spelen in het wallet-ecosysteem als uitgever van QEAA’s, kunnen ontdekken dat het nastreven van QTSP-status kansen opent die anders buiten bereik zouden zijn. Een relying party heeft geen QTSP-status nodig om een EUDI-wallet te accepteren: QTSP-status is relevant wanneer een organisatie zelf gekwalificeerde trust services wil aanbieden, zoals het uitgeven van QEAA’s of het faciliteren van gekwalificeerd tekenen.
Hoe lang duurt het om de status van gekwalificeerde vertrouwensdienstverlener te behalen?
Het behalen van de status van gekwalificeerde vertrouwensdienstverlener duurt doorgaans tussen de zes maanden en twee jaar, afhankelijk van het startpunt van de organisatie, het type trust services dat zij wil aanbieden en de responsiviteit van het nationale toezichthoudende orgaan. Organisaties die beginnen met een solide nalevingsbasis en goed gedocumenteerde processen, doorlopen het proces doorgaans efficiënter.
De tijdlijn valt ruwweg uiteen in de volgende fasen:
- Kloofanalyse en voorbereiding: Beoordeling van de huidige capaciteiten ten opzichte van de vereisten van Verordening (EU) 2024/1183 en de relevante uitvoeringshandelingen. Deze fase kan enkele maanden in beslag nemen, met name voor organisaties die nieuw zijn op het gebied van trust services.
- Beleids- en technische implementatie: Ontwikkelen of bijwerken van praktijkverklaringen, beveiligingsarchitectuur, sleutelbeheerprocedures en governancedocumentatie.
- Conformiteitsbeoordeling: Inschakelen van een geaccrediteerde CAB en voltooien van de audit. Afhankelijk van de beschikbaarheid van de CAB en de complexiteit van de te beoordelen diensten duurt deze fase doorgaans twee tot zes maanden.
- Toezichtsreview en kennisgeving: Indienen van het conformiteitsbeoordelingsrapport en kennisgeving aan het toezichthoudende orgaan. Het toezichthoudende orgaan heeft een vastgestelde termijn om de aanvraag te beoordelen en de gekwalificeerde status toe te kennen of te weigeren.
Organisaties die de documentatie- en voorbereidingsfasen onderschatten, ondervinden vaak vertragingen. Beginnen met een duidelijk begrip van welke uitvoeringshandelingen van toepassing zijn op de specifieke aangeboden trust services is een van de meest effectieve manieren om het proces op koers te houden. Vroeg contact met zowel de CAB als het toezichthoudende orgaan wordt sterk aanbevolen.
Hoe ondersteunt de ID Connector organisaties op weg naar en na QTSP-status
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken:
- Verificatie tegen trusted lists: de ID Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list en de EU List of Trusted Lists (LOTL), conform ETSI TS 119 612.
- Controle van intrekkingsstatus: de ID Connector raadpleegt de statusinformatie van de uitgever om vast te stellen of een attestatie nog geldig is.
- Validatie van de wallet unit attestation: de ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution, wat een vereiste is voor betrouwbare verificatie.
- Bewaking van de geregistreerde attributenscope: de ID Connector bewaakt dat verzoeken om attributen binnen de scope vallen die de relying party heeft geregistreerd bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848.
- Gekwalificeerd tekenen via een aangesloten QTSP: de ID Connector maakt het mogelijk om een QES tot stand te brengen via een aangesloten gekwalificeerde vertrouwensdienstverlener. TrustTech geeft zelf geen QES uit.
De ID Connector is inzetbaar in de sectoren financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar QTSP-vereisten en sectorale nalevingsverplichtingen samenkomen. Overheden en zorginstellingen kunnen de ID Connector gebruiken om EUDI-wallets te accepteren voor diensten waarvoor sterke authenticatie vereist is, en tegelijkertijd te voldoen aan de registratieplicht onder CIR (EU) 2025/848.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw traject naar of na QTSP-status.