Certificeringsinstanties spelen een centrale rol bij de naleving van eIDAS 2.0 door onafhankelijk te verifiëren dat aanbieders van vertrouwensdiensten en wallet-oplossingen voldoen aan de technische en beveiligingsvereisten van de verordening. Zonder een succesvolle conformiteitsbeoordeling door een erkende certificeringsinstantie kunnen organisaties geen gekwalificeerde status verkrijgen of behouden onder eIDAS 2.0. Dit artikel behandelt de meest gestelde vragen van organisaties over certificeringsinstanties, het beoordelingsproces en wat je kunt verwachten bij de voorbereiding op naleving.
Wat beoordelen certificeringsinstanties precies onder eIDAS 2.0?
Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, beoordelen certificeringsinstanties of een aanbieder van vertrouwensdiensten of een wallet-oplossing voldoet aan de vastgestelde technische, organisatorische en beveiligingsvereisten van de verordening. Dit omvat de evaluatie van identiteitsverificatieprocedures, cryptografische maatregelen, gegevensbeschermingspraktijken, incidentbeheer en de algehele beveiligingsarchitectuur van de dienst of het systeem dat wordt beoordeeld.
De reikwijdte van wat wordt beoordeeld, is afhankelijk van het type dienst of product. Voor gekwalificeerde aanbieders van vertrouwensdiensten (QTSP’s) omvat de beoordeling de volledige levenscyclus van de vertrouwensdienst, van de manier waarop identiteiten worden geverifieerd bij het onboarden tot hoe certificaten of handtekeningen worden uitgegeven, beheerd en ingetrokken. Voor EUDI-wallet-oplossingen richt de beoordeling zich op de vraag of de wallet solution voldoet aan de vereisten in het Architecture and Reference Framework (ARF), inclusief beveiliging, interoperabiliteit en gebruikerscontrole over persoonsgegevens.
In grote lijnen onderzoekt een conformiteitsbeoordeling onder eIDAS 2.0 de volgende gebieden:
- Identiteitsproofing en registratieprocedures
- Sleutelbeheer en cryptografische infrastructuur
- Fysieke en logische beveiligingsmaatregelen
- Incidentrespons en processen voor melding van datalekken
- Beleid en documentatie die de dienst regelen
- Naleving van toepasselijke uitvoeringshandelingen en gerefereerde normen
Het eIDAS 2.0-kader verwijst naar een aanzienlijk aantal uitvoeringshandelingen van de Commissie die specifieke vereisten definiëren voor verschillende vertrouwensdiensten, waaronder gekwalificeerde elektronische handtekeningen, zegels, tijdstempels, aangetekende bezorgdiensten en certificaten voor websiteauthenticatie. Certificeringsinstanties gebruiken deze uitvoeringshandelingen, samen met geharmoniseerde normen, als basis voor hun beoordelingen.
Hoe werkt het conformiteitsbeoordelingsproces?
Het conformiteitsbeoordelingsproces onder eIDAS 2.0 is een gestructureerde audit waarbij een geaccrediteerde certificeringsinstantie een aanbieder van vertrouwensdiensten of een wallet-oplossing evalueert aan de hand van vastgestelde vereisten. Het proces omvat doorgaans een documentatiebeoordeling, technische tests en een fysieke of externe audit, resulterend in een conformiteitsbeoordelingsrapport dat bepaalt of de gekwalificeerde status kan worden verleend.
Het proces verloopt over het algemeen in de volgende fasen:
- Voorbereiding en afbakening: De organisatie bepaalt de reikwijdte van de beoordeling, identificeert welke vertrouwensdiensten of wallet-componenten worden beoordeeld en verzamelt de vereiste documentatie.
- Documentatiebeoordeling: De certificeringsinstantie beoordeelt beleid, procedures, technische specificaties en bewijs van geïmplementeerde maatregelen aan de hand van de toepasselijke normen en uitvoeringshandelingen.
- Technische tests en audit: Auditors voeren praktijkgerichte tests uit van systemen, processen en maatregelen. Dit kan penetratietests, beoordeling van cryptografische implementaties en interviews met sleutelpersoneel omvatten.
- Bevindingen en herstel: Eventuele tekortkomingen of non-conformiteiten die tijdens de audit worden vastgesteld, worden gedocumenteerd. De organisatie krijgt de gelegenheid om kritieke bevindingen aan te pakken voordat het definitieve rapport wordt uitgebracht.
- Conformiteitsbeoordelingsrapport: De certificeringsinstantie stelt een formeel rapport op. Dit rapport wordt ingediend bij het relevante nationale toezichthoudende orgaan als onderdeel van het kennisgevings- of toezichtproces.
De conformiteitsbeoordeling is geen eenmalige gebeurtenis. Gekwalificeerde aanbieders van vertrouwensdiensten zijn verplicht om ten minste elke 24 maanden een herbeoordeling te ondergaan om hun gekwalificeerde status te behouden. Dit betekent dat doorlopend nalevingsbeheer net zo belangrijk is als de initiële beoordeling.
Welke certificeringsinstanties zijn erkend onder eIDAS 2.0?
Certificeringsinstanties die erkend zijn onder eIDAS 2.0 zijn conformiteitsbeoordelingsinstanties (CAB’s) die zijn geaccrediteerd door een nationale accreditatie-instantie in een EU-lidstaat. Accreditatie wordt verleend in overeenstemming met Verordening (EG) nr. 765/2008 en de specifieke vereisten die zijn vastgelegd in de uitvoeringshandelingen van eIDAS 2.0 inzake de accreditatie van conformiteitsbeoordelingsinstanties.
Elke EU-lidstaat heeft een aangewezen nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland of DAkkS in Duitsland. Deze nationale instanties accrediteren CAB’s om conformiteitsbeoordelingen uit te voeren specifiek voor gekwalificeerde vertrouwensdiensten en, onder eIDAS 2.0, voor EUDI-wallet-oplossingen.
Er is geen enkel pan-Europees register van alle erkende certificeringsinstanties, maar organisaties kunnen geaccrediteerde CAB’s identificeren via het openbare register van hun nationale accreditatie-instantie. Het is belangrijk te verifiëren dat de certificeringsinstantie de juiste accreditatiescope heeft voor het specifieke type vertrouwensdienst of wallet-component dat wordt beoordeeld, aangezien accreditatie doorgaans wordt verleend voor specifieke dienstcategorieën en niet als een algehele goedkeuring.
Bij het selecteren van een certificeringsinstantie moeten organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg ook overwegen of de CAB relevante sectorervaring heeft, aangezien beoordelaars met domeinkennis beter in staat zijn complexe dienstomgevingen te evalueren.
Wat is het verschil tussen certificering en toezicht in eIDAS 2.0?
Certificering en toezicht zijn twee afzonderlijke maar complementaire mechanismen in eIDAS 2.0. Certificering is een conformiteitsbeoordeling door de private sector, uitgevoerd door een geaccrediteerde certificeringsinstantie om technische en operationele naleving te verifiëren. Toezicht is een publieke functie die wordt uitgevoerd door nationale toezichthoudende organen om gekwalificeerde aanbieders van vertrouwensdiensten doorlopend te controleren en regelgevende vereisten te handhaven.
Certificering is het proces dat een organisatie op de nationale trusted list van gekwalificeerde vertrouwensdiensten plaatst, terwijl toezicht ervoor zorgt dat ze daar blijft en verantwoording aflegt. Een QTSP moet eerst een conformiteitsbeoordelingsrapport van een certificeringsinstantie verkrijgen voordat het de toezichthoudende instantie in kennis kan stellen van zijn voornemen om gekwalificeerde vertrouwensdiensten te verlenen. Zodra de kennisgeving is gedaan en de aanbieder op de nationale trusted list staat, neemt de toezichthoudende instantie het doorlopende toezicht over.
De toezichthoudende instantie heeft ruimere bevoegdheden dan een certificeringsinstantie. Ze kan klachten onderzoeken, audits vereisen, corrigerende maatregelen opleggen en uiteindelijk een aanbieder van de trusted list verwijderen als ernstige non-conformiteiten worden vastgesteld. De certificeringsinstantie richt zich daarentegen uitsluitend op technische beoordeling aan de hand van vastgestelde normen en heeft geen regelgevende handhavingsbevoegdheden.
Voor EUDI-wallet-oplossingen introduceert eIDAS 2.0 een specifiek certificeringsschema voor wallet-aanbieders. Lidstaten zijn verantwoordelijk voor het certificeren van wallet-oplossingen voordat ze kunnen worden opgenomen in de officiële lijst van gecertificeerde EUDI-wallets die op Europees niveau wordt bijgehouden. Dit voegt een extra laag van publiek toezicht toe bovenop het conformiteitsbeoordelingsproces.
Wanneer heeft een organisatie een certificeringsinstantie nodig?
Een organisatie heeft een certificeringsinstantie nodig onder eIDAS 2.0 wanneer ze gekwalificeerde vertrouwensdiensten wil aanbieden, een EUDI-wallet-oplossing wil uitgeven of exploiteren, of wanneer ze op grond van regelgeving verplicht is conformiteit met specifieke eIDAS 2.0-vereisten aan te tonen. Certificering is verplicht, niet optioneel, voor het verkrijgen en behouden van de gekwalificeerde status.
Concreet is een certificeringsinstantie vereist in de volgende situaties:
- Een organisatie wil een gekwalificeerde aanbieder van vertrouwensdiensten worden en diensten aanbieden zoals gekwalificeerde elektronische handtekeningen, zegels, tijdstempels of aangetekende bezorging.
- Een lidstaat of private entiteit ontwikkelt of exploiteert een EUDI-wallet-oplossing die gecertificeerd moet zijn voordat ze officieel kan worden opgenomen in de lijst.
- Een bestaande QTSP nadert de deadline voor de herbeoordeling na 24 maanden en moet zijn conformiteitsbeoordelingsrapport vernieuwen.
- Een organisatie breidt haar gekwalificeerde vertrouwensdiensten uit naar nieuwe dienstcategorieën waarvoor een afzonderlijke of bijgewerkte beoordeling vereist is.
Organisaties die geen gekwalificeerde status nastreven, maar relying parties of wallet-relying parties zijn, hoeven doorgaans niet rechtstreeks een beroep te doen op een certificeringsinstantie. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP komt in beeld wanneer een organisatie bijvoorbeeld gekwalificeerde handtekeningen of gekwalificeerde attestaties wil inzetten. Relying parties moeten zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging onder CIR (EU) 2025/848 van 6 mei 2025 voordat ze walletdata kunnen opvragen. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden opgevraagd. Verzoeken buiten die geregistreerde scope worden door de wallet herkend en geblokkeerd.
Voor organisaties in sectoren zoals overheid of wetenschap en onderzoek is het begrijpen van wanneer certificering van toepassing is een belangrijke vroege stap in elk eIDAS 2.0-gereedsheidsprogramma. Je kunt relevante bronnen verkennen voor een duidelijker beeld van hoe de verordening van toepassing is op jouw specifieke context.
Hoe moeten organisaties zich voorbereiden op een conformiteitsbeoordeling?
Organisaties die zich voorbereiden op een conformiteitsbeoordeling onder eIDAS 2.0 moeten beginnen met een gap-analyse, een uitgebreid documentatieraamwerk opbouwen en hun technische infrastructuur afstemmen op de toepasselijke uitvoeringshandelingen en geharmoniseerde normen. Vroege voorbereiding vermindert de tijd en kosten van de beoordeling zelf aanzienlijk.
Een praktische voorbereidingsaanpak omvat verschillende belangrijke stappen. Bepaal eerst de exacte reikwijdte van de beoordeling door vast te stellen welke diensten of componenten worden beoordeeld en welke uitvoeringshandelingen van toepassing zijn. Het eIDAS 2.0-kader omvat een groot aantal uitvoeringshandelingen van de Commissie die alles bestrijken, van sleutelbeheer en certificaatformaten tot incidentrapportage en audittrails. Weten welke van toepassing zijn op jouw dienst is essentieel voordat enig auditwerk begint.
Bouw en onderhoud ten tweede een robuuste bewijsbibliotheek. Certificeringsinstanties zullen gedocumenteerd beleid, procedures, technische specificaties en operationele gegevens opvragen. Organisaties die hun documentatie proactief beheren, in plaats van deze onder druk samen te stellen vlak voor een audit, hebben doorgaans soepelere beoordelingservaringen.
Voer ten derde interne voorbeoordelingen of gereedheidsreviews uit voordat je de certificeringsinstantie inschakelt. Dit helpt vroegtijdig tekortkomingen te identificeren en geeft teams de tijd om herstelmaatregelen te implementeren zonder de druk van een actieve audit. Veel organisaties werken in deze fase samen met externe adviseurs om een onafhankelijk beeld van hun gereedheid te krijgen.
Zorg er ten slotte voor dat sleutelpersoneel op het gebied van IT, compliance, juridische zaken en operaties is afgestemd op de beoordelingsreikwijdte en de individuele verantwoordelijkheden. Een conformiteitsbeoordeling raakt meerdere onderdelen van een organisatie, en coördinatie tussen teams bepaalt vaak of het proces soepel verloopt of vertraging oploopt.
Hoe ondersteunt de ID Connector de voorbereiding op eIDAS 2.0-certificering
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector voert daarbij de technische verificatiestappen uit die het eIDAS 2.0-kader vereist:
- Verificatie tegen trusted lists: De handtekening van de uitgever wordt gecontroleerd aan de hand van de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
- Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om te verifiëren dat een attestatie niet is ingetrokken.
- Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet instance draait op een gecertificeerde wallet solution, wat een afzonderlijke controle is naast de handtekeningverificatie.
- Bewaking van de geregistreerde attributenscope: De ID Connector houdt rekening met de per intended use geregistreerde attributen en attestaties, zodat verzoeken buiten de geregistreerde scope worden herkend.
- Gekwalificeerd tekenen via een aangesloten QTSP: Voor use cases waarbij een gekwalificeerde elektronische handtekening vereist is, verbindt de ID Connector met een gekwalificeerde aanbieder van vertrouwensdiensten. De QES wordt door die QTSP uitgegeven, niet door TrustTech zelf.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die tijdig willen voldoen aan de acceptatieverplichtingen. Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is vanaf 24 december 2026. Voor relevante gereguleerde private sectoren geldt de acceptatieverplichting onder artikel 5f van de verordening vanaf 24 december 2027, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
Wil je weten hoe de ID Connector aansluit op jouw situatie? Neem contact op met TrustTech om de technische integratie te bespreken.