Onder Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, die Verordening (EU) 910/2014 wijzigt, kunnen zowel overheidsinstanties als private organisaties attestaties van attributen uitgeven, mits zij voldoen aan de regelgevende vereisten voor hun attestatietype. Private uitgevers kunnen deelnemen aan het ecosysteem door te worden erkend als aanbieder van gekwalificeerde of niet-gekwalificeerde elektronische attestaties van attributen, afhankelijk van het vertrouwensniveau en de juridische erkenning die zij willen bereiken. Dit artikel behandelt de belangrijkste vragen die organisaties moeten begrijpen over hoe attestaties van private uitgevers in de praktijk werken.
Wie kan attestaties van attributen uitgeven onder eIDAS 2.0?
Onder eIDAS 2.0 kunnen attestaties van attributen worden uitgegeven door publieke sectororganisaties, authentieke bronnen en private organisaties. Bedrijven kunnen erkende attestatie-uitgevers worden door zich te registreren als vertrouwensdienstverleners en te voldoen aan de technische en toezichtvereisten die in de verordening zijn vastgelegd. Dit opent het ecosysteem voor werkgevers, banken, zorginstellingen, universiteiten en andere sectorspecifieke organisaties.
Dit is een betekenisvolle wijziging ten opzichte van de oorspronkelijke eIDAS-verordening, die zich bijna uitsluitend richtte op de identiteitsinfrastructuur van de publieke sector. Het bijgewerkte kader erkent dat veel waardevolle attributen, zoals beroepskwalificaties, arbeidsstatus, zorgrollen of financiële referenties, het best worden geattesteerd door de private organisaties die die informatie rechtstreeks beheren.
Private uitgevers opereren niet zonder toezicht. Zij moeten zich registreren bij een nationale toezichthoudende instantie en voldoen aan het Architecture and Reference Framework (ARF) dat bepaalt hoe attestaties worden opgesteld, opgeslagen en uitgewisseld. Het vereiste niveau van toezicht en zekerheid hangt af van de vraag of de uitgever gekwalificeerde of niet-gekwalificeerde attestaties verstrekt.
Wat is een Gekwalificeerd Elektronisch Attest van Attributen (QEAA)?
Een Gekwalificeerd Elektronisch Attest van Attributen (QEAA) is het hoogste niveau van attestering van attributen zoals gedefinieerd onder eIDAS 2.0. Het wordt uitgegeven door een Gekwalificeerde Vertrouwensdienstverlener (QTSP) die officieel is erkend en vermeld staat op een nationale trusted list. Een QEAA heeft de sterkste juridische status en wordt automatisch erkend in alle EU-lidstaten.
QEAA’s zijn ontworpen om attributen te bevatten die juridisch betrouwbaar en grensoverschrijdend verifieerbaar moeten zijn. Denk aan de beroepsvergunning van een apotheker, het lidmaatschap van een advocatenbalie, of de referenties van een gecertificeerd financieel adviseur. Dit zijn de soorten claims die direct vertrouwd moeten kunnen worden, zonder dat de ontvangende partij de bron afzonderlijk hoeft te verifiëren.
Om QEAA’s te mogen uitgeven, moet een organisatie een formele conformiteitsbeoordeling doorlopen die wordt uitgevoerd door een geaccrediteerde instantie. Na goedkeuring wordt de uitgever toegevoegd aan de nationale trusted list, waardoor hun attestaties verifieerbaar zijn door elke relying party binnen het EUDI-wallet-ecosysteem. Het proces is veeleisend, maar biedt in ruil daarvoor het hoogste niveau van grensoverschrijdende erkenning en juridische zekerheid.
Hoe waarborgt eIDAS 2.0 het vertrouwen in attestaties van private uitgevers?
eIDAS 2.0 waarborgt het vertrouwen in attestaties van private uitgevers door een combinatie van registratievereisten, cryptografische verificatie en toezichtscontrole. Elk attest dat binnen het EUDI-wallet-ecosysteem wordt uitgegeven, is cryptografisch ondertekend door de uitgever. Een relying party kan daarmee de integriteit van de gegevens en de identiteit van de uitgever controleren, maar volledige verificatie vereist meer dan alleen de handtekeningcontrole.
Verificatie van een attestatie omvat drie afzonderlijke controles. Ten eerste de verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list volgens ETSI TS 119 612, en via de EU List of Trusted Lists (LOTL). Ten tweede de controle van de intrekkingsstatus via statusinformatie van de uitgever. Ten derde de verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
De vertrouwensketen werkt als volgt. Uitgevers moeten zijn geregistreerd en, in het geval van gekwalificeerde aanbieders, vermeld staan op een nationale trusted list. Wallet-aanbieders verifiëren dat de uitgever legitiem is voordat ze attestaties in de EUDI-wallet van een gebruiker accepteren. Relying parties kunnen vervolgens de drie bovengenoemde controles uitvoeren om te bevestigen dat de attestatie geldig is en niet is gemanipuleerd.
Deze architectuur elimineert de behoefte aan bilaterale overeenkomsten tussen organisaties. Een bank in Spanje heeft geen directe relatie nodig met een Nederlandse werkgever om een arbeidsattestatie te vertrouwen, zolang beide partijen binnen het erkende kader opereren. De verordening definieert ook specifieke uitvoeringshandelingen die de technische formaten en protocollen voor attestatie-uitwisseling regelen, waardoor interoperabiliteit tussen lidstaten en sectoren wordt gegarandeerd.
Wat is het verschil tussen QEAA en niet-gekwalificeerde attestaties?
Het belangrijkste verschil tussen een Gekwalificeerd Elektronisch Attest van Attributen (QEAA) en een niet-gekwalificeerde elektronische attestatie van attributen (EAA) is het niveau van juridische erkenning en de vereisten die aan de uitgever worden gesteld. QEAA’s hebben volledige grensoverschrijdende juridische status en worden uitgegeven door onder toezicht staande QTSP’s. Niet-gekwalificeerde EAA’s bieden meer flexibiliteit maar hebben minder automatisch juridisch gewicht. Daarnaast bestaat de categorie PuB-EAA: attestaties uitgegeven door of namens publieke authentieke bronnen. Deze categorie staat naast QEAA en niet-gekwalificeerde EAA en valt niet onder de niet-gekwalificeerde EAA.
Hier volgt een praktische vergelijking van de twee typen:
- QEAA: Uitgegeven door een Gekwalificeerde Vertrouwensdienstverlener, vermeld op een nationale trusted list, onderworpen aan conformiteitsbeoordeling, automatisch erkend in de hele EU, hoogste juridische status
- Niet-gekwalificeerde EAA: Kan worden uitgegeven door elke geregistreerde organisatie, hoeft niet op een trusted list te staan, lagere nalevingslast, juridische erkenning kan variëren per lidstaat of gebruikssituatie
Niet-gekwalificeerde attestaties zijn voor veel gebruikssituaties volledig geschikt. Een werkgever die een intern toegangsbewijs uitgeeft, een loyaliteitsprogramma dat lidmaatschapsstatus bevestigt, of een zorgverlener die een toestemmingsregistratie deelt, heeft mogelijk niet het volledige gewicht van een QEAA nodig. Het ecosysteem is bewust ontworpen om beide niveaus te ondersteunen, zodat organisaties de aanpak kunnen kiezen die past bij hun gebruikssituatie en risicoprofiel.
De praktische implicatie voor organisaties is dat de keuze tussen QEAA en niet-gekwalificeerde EAA moet worden bepaald door de vereisten van de relying party. Als de organisatie die de attestatie ontvangt gekwalificeerde status vereist, moet de uitgever investeren in QTSP-erkenning. Als de gebruikssituatie intern of lager risico is, kan een niet-gekwalificeerde aanpak sneller en kosteneffectiever te implementeren zijn.
Welke sectoren worden het meest beïnvloed door attestaties van private uitgevers?
De sectoren die het meest worden beïnvloed door attestaties van private uitgevers onder eIDAS 2.0 zijn die sectoren waar vertrouwde, herbruikbare attestaties herhaalde handmatige verificatie kunnen vervangen. Financiële dienstverlening, gezondheidszorg, farmaceutische industrie, onderwijs en aan de overheid grenzende sectoren lopen voorop, omdat zij te maken hebben met hoogwaardige attributen waarvoor momenteel trage, papiergebaseerde of geïsoleerde verificatieprocessen nodig zijn.
In de financiële dienstverlening kunnen private uitgevers zoals banken en verzekeraars geverifieerde KYC-attributen, financiële referenties of beroepscertificeringen rechtstreeks in de EUDI-wallet van een klant plaatsen. Hergebruik van KYC-data wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Dit vermindert de noodzaak voor klanten om hun identiteit opnieuw te verifiëren bij elke instelling waarmee zij in contact komen.
In de gezondheidszorg kunnen ziekenhuizen en beroepsorganisaties beroepsreferenties, recepten of toestemmingsregistraties uitgeven als verifieerbare attestaties. Dit is bijzonder waardevol in grensoverschrijdende zorgscenario’s, waarbij een zorgverlener in het ene land de medische geschiedenis van een patiënt of de beroepsvergunning van een collega uit een andere lidstaat moet verifiëren. Erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG; de wallet kan de relevante gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.
In het onderwijs en onderzoek kunnen universiteiten en certificeringsinstanties diploma’s, beroepskwalificaties en onderzoeksreferenties uitgeven die studenten en professionals in hun wallet kunnen bewaren en via selective disclosure kunnen delen met werkgevers of instellingen. Het DC4EU-consortium heeft deze gebruikssituatie specifiek getest binnen de Large Scale Pilots, die liepen van april 2023 tot 2025, met sterke resultaten voor grensoverschrijdende erkenning van onderwijs- en sociale-zekerheidsgegevens.
Hoe moeten organisaties zich voorbereiden om een private attestatie-uitgever te worden?
Organisaties die een private attestatie-uitgever willen worden onder eIDAS 2.0 moeten beginnen met het verduidelijken van welk type attestatie zij moeten uitgeven en wat de relying parties in hun ecosysteem zullen vereisen. Daarna omvat het voorbereidingsproces technische, juridische en organisatorische stappen die parallel moeten worden uitgevoerd.
Een praktisch startpunt ziet er als volgt uit:
- Definieer je attestatiebereik: Identificeer welke attributen je bezit die anderen moeten vertrouwen, en of die gebruikssituaties QEAA- of niet-gekwalificeerde EAA-status vereisen.
- Beoordeel je huidige infrastructuur: Controleer of je bestaande systemen cryptografisch ondertekenen, het uitgeven van attestaties in de vereiste formaten (mdoc of SD-JWT VC) en integratie met EUDI-wallet-protocollen zoals OID4VCI kunnen ondersteunen.
- Begrijp het regelgevende traject: Als je QEAA-status nastreeft, neem dan vroeg contact op met jouw nationale toezichthoudende instantie en begrijp het conformiteitsbeoordelingsproces.
- Stem af op het Architecture and Reference Framework: Zorg ervoor dat jouw technische implementatie de ARF-specificaties voor attestatieformaten, protocollen en interoperabiliteitsvereisten volgt.
- Plan voor governance en levenscyclusbeheer: Attestaties moeten intrekbaar, bijwerkbaar en controleerbaar zijn. Bouw vanaf het begin processen voor het beheer van de attestatielevenscyclus.
Organisaties die vroeg handelen hebben een duidelijk voordeel. Uiterlijk op 24 december 2026 moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten geldt vervolgens een acceptatieplicht vanaf 24 december 2027 op grond van artikel 5f, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze acceptatieplicht uitgezonderd. Uitgevers die gereed zijn wanneer de vraag zich manifesteert, worden gepositioneerd als vertrouwde partners in het ecosysteem.
Hoe ondersteunt de ID Connector van TrustTech attestatie-uitgifte en -verificatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die attestaties willen uitgeven of ontvangen binnen het EUDI-wallet-ecosysteem ondersteunt de ID Connector concreet:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, zodat wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, conform de registratie van de relying party onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de geregistreerde intended use
- Gekwalificeerd tekenen via een aangesloten QTSP, voor gebruikssituaties waarbij een QES vereist is
De ID Connector is relevant voor financiële dienstverleners die geverifieerde KYC-attestaties willen verwerken, zorginstellingen die beroepsreferenties of toestemmingsregistraties ontvangen, farmaceutische organisaties die gecertificeerde productattestaties uitwisselen, en overheidsinstanties die genotificeerde wallets moeten accepteren per 24 december 2026. Verken onze digitale identiteitsoplossingen of neem contact op om te bespreken hoe de ID Connector aansluit op jouw specifieke situatie.