Certificeringsinstanties spelen een centrale rol bij de naleving van eIDAS 2.0 door onafhankelijk te verifiëren dat aanbieders van vertrouwensdiensten en wallet-oplossingen voldoen aan de technische en beveiligingsvereisten van de verordening. Zonder een succesvolle conformiteitsbeoordeling door een erkende certificeringsinstantie kunnen organisaties geen gekwalificeerde status verkrijgen of behouden onder eIDAS 2.0. Dit artikel behandelt de meest gestelde vragen van organisaties over certificeringsinstanties, het beoordelingsproces en wat te verwachten bij de voorbereiding op naleving.

Wat beoordelen certificeringsinstanties precies onder eIDAS 2.0?

Onder eIDAS 2.0 beoordelen certificeringsinstanties of een aanbieder van vertrouwensdiensten of een wallet-oplossing voldoet aan de vastgestelde technische, organisatorische en beveiligingsvereisten van de verordening. Dit omvat de evaluatie van identiteitsverificatieprocedures, cryptografische maatregelen, gegevensbeschermingspraktijken, incidentbeheer en de algehele beveiligingsarchitectuur van de dienst of het systeem dat wordt beoordeeld.

De reikwijdte van wat wordt beoordeeld, is afhankelijk van het type dienst of product. Voor gekwalificeerde aanbieders van vertrouwensdiensten (QTSP’s) omvat de beoordeling de volledige levenscyclus van de vertrouwensdienst, van de manier waarop identiteiten worden geverifieerd bij het onboarden tot hoe certificaten of handtekeningen worden uitgegeven, beheerd en ingetrokken. Voor EUDI Wallet-oplossingen richt de beoordeling zich op de vraag of de wallet voldoet aan de vereisten in het Architecture and Reference Framework (ARF), inclusief beveiliging, interoperabiliteit en gebruikerscontrole over persoonsgegevens.

In grote lijnen onderzoekt een conformiteitsbeoordeling onder eIDAS 2.0 de volgende gebieden:

• Identiteitsproofing en registratieprocedures
• Sleutelbeheer en cryptografische infrastructuur
• Fysieke en logische beveiligingsmaatregelen
• Incidentrespons en processen voor melding van datalekken
• Beleid en documentatie die de dienst regelen
• Naleving van toepasselijke uitvoeringsverordeningen en gerefereerde normen

Het eIDAS 2.0-kader verwijst naar een aanzienlijk aantal uitvoeringsverordeningen van de Commissie die specifieke vereisten definiëren voor verschillende vertrouwensdiensten, waaronder gekwalificeerde elektronische handtekeningen, zegels, tijdstempels, aangetekende bezorgdiensten en certificaten voor websiteauthenticatie. Certificeringsinstanties gebruiken deze uitvoeringsverordeningen, samen met geharmoniseerde normen, als basis voor hun beoordelingen.

Hoe werkt het conformiteitsbeoordelingsproces?

Het conformiteitsbeoordelingsproces onder eIDAS 2.0 is een gestructureerde audit waarbij een geaccrediteerde certificeringsinstantie een aanbieder van vertrouwensdiensten of een wallet-oplossing evalueert aan de hand van vastgestelde vereisten. Het proces omvat doorgaans een documentatiebeoordeling, technische tests en een fysieke of externe audit, resulterend in een conformiteitsbeoordelingsrapport dat bepaalt of de gekwalificeerde status kan worden verleend.

Het proces verloopt over het algemeen in de volgende fasen:

1. Voorbereiding en afbakening: De organisatie bepaalt de reikwijdte van de beoordeling, identificeert welke vertrouwensdiensten of wallet-componenten worden beoordeeld en verzamelt de vereiste documentatie.
2. Documentatiebeoordeling: De certificeringsinstantie beoordeelt beleid, procedures, technische specificaties en bewijs van geïmplementeerde maatregelen aan de hand van de toepasselijke normen en uitvoeringsverordeningen.
3. Technische tests en audit: Auditors voeren praktijkgerichte tests uit van systemen, processen en maatregelen. Dit kan penetratietests, beoordeling van cryptografische implementaties en interviews met sleutelpersoneel omvatten.
4. Bevindingen en herstel: Eventuele tekortkomingen of non-conformiteiten die tijdens de audit worden vastgesteld, worden gedocumenteerd. De organisatie krijgt de gelegenheid om kritieke bevindingen aan te pakken voordat het definitieve rapport wordt uitgebracht.
5. Conformiteitsbeoordelingsrapport: De certificeringsinstantie stelt een formeel rapport op. Dit rapport wordt ingediend bij het relevante nationale toezichthoudende orgaan als onderdeel van het kennisgevings- of toezichtproces.

De conformiteitsbeoordeling is geen eenmalige gebeurtenis. Gekwalificeerde aanbieders van vertrouwensdiensten zijn verplicht om ten minste elke 24 maanden een herbeoordeling te ondergaan om hun gekwalificeerde status te behouden. Dit betekent dat doorlopend nalevingsbeheer net zo belangrijk is als de initiële beoordeling.

Welke certificeringsinstanties zijn erkend onder eIDAS 2.0?

Certificeringsinstanties die erkend zijn onder eIDAS 2.0 zijn conformiteitsbeoordelingsinstanties (CAB’s) die zijn geaccrediteerd door een nationale accreditatie-instantie in een EU-lidstaat. Accreditatie wordt verleend in overeenstemming met Verordening (EG) nr. 765/2008 en de specifieke vereisten die zijn vastgelegd in de uitvoeringsverordening van eIDAS 2.0 inzake de accreditatie van conformiteitsbeoordelingsinstanties.

Elke EU-lidstaat heeft een aangewezen nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland of DAkkS in Duitsland. Deze nationale instanties accrediteren CAB’s om conformiteitsbeoordelingen uit te voeren specifiek voor gekwalificeerde vertrouwensdiensten en, onder eIDAS 2.0, voor EUDI Wallet-oplossingen.

Er is geen enkel pan-Europees register van alle erkende certificeringsinstanties, maar organisaties kunnen geaccrediteerde CAB’s identificeren via het openbare register van hun nationale accreditatie-instantie. Het is belangrijk te verifiëren dat de certificeringsinstantie de juiste accreditatiescope heeft voor het specifieke type vertrouwensdienst of wallet-component dat wordt beoordeeld, aangezien accreditatie doorgaans wordt verleend voor specifieke dienstcategorieën en niet als een algehele goedkeuring.

Bij het selecteren van een certificeringsinstantie moeten organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg ook overwegen of de CAB relevante sectorervaring heeft, aangezien beoordelaars met domeinkennis beter in staat zijn complexe dienstomgevingen te evalueren.

Wat is het verschil tussen certificering en toezicht in eIDAS 2.0?

Certificering en toezicht zijn twee afzonderlijke maar complementaire mechanismen in eIDAS 2.0. Certificering is een conformiteitsbeoordeling door de private sector, uitgevoerd door een geaccrediteerde certificeringsinstantie om technische en operationele naleving te verifiëren. Toezicht is een publieke functie die wordt uitgevoerd door nationale toezichthoudende organen om gekwalificeerde aanbieders van vertrouwensdiensten doorlopend te controleren en regelgevende vereisten te handhaven.

Zie het zo: certificering is het proces dat een organisatie op de lijst van gekwalificeerde vertrouwensdiensten plaatst, terwijl toezicht ervoor zorgt dat ze daar blijft en verantwoording aflegt. Een QTSP moet eerst een conformiteitsbeoordelingsrapport van een certificeringsinstantie verkrijgen voordat het de toezichthoudende instantie in kennis kan stellen van zijn voornemen om gekwalificeerde vertrouwensdiensten te verlenen. Zodra de kennisgeving is gedaan en de aanbieder op de nationale Vertrouwenslijst staat, neemt de toezichthoudende instantie het doorlopende toezicht over.

De toezichthoudende instantie heeft ruimere bevoegdheden dan een certificeringsinstantie. Ze kan klachten onderzoeken, audits vereisen, corrigerende maatregelen opleggen en uiteindelijk een aanbieder van de Vertrouwenslijst verwijderen als ernstige non-conformiteiten worden vastgesteld. De certificeringsinstantie richt zich daarentegen uitsluitend op technische beoordeling aan de hand van vastgestelde normen en heeft geen regelgevende handhavingsbevoegdheden.

Voor EUDI Wallet-oplossingen introduceert eIDAS 2.0 een specifiek certificeringsschema voor wallet-aanbieders. Lidstaten zijn verantwoordelijk voor het certificeren van wallet-oplossingen voordat ze kunnen worden opgenomen in de officiële lijst van gecertificeerde EUDI Wallets die op Europees niveau wordt bijgehouden. Dit voegt een extra laag van publiek toezicht toe bovenop het conformiteitsbeoordelingsproces.

Wanneer heeft een organisatie een certificeringsinstantie nodig?

Een organisatie heeft een certificeringsinstantie nodig onder eIDAS 2.0 wanneer ze gekwalificeerde vertrouwensdiensten wil aanbieden, een EUDI Wallet-oplossing wil uitgeven of exploiteren, of wanneer ze op grond van regelgeving verplicht is conformiteit met specifieke eIDAS 2.0-vereisten aan te tonen. Certificering is verplicht, niet optioneel, voor het verkrijgen en behouden van de gekwalificeerde status.

Concreet is een certificeringsinstantie vereist in de volgende situaties:

• Een organisatie wil een gekwalificeerde aanbieder van vertrouwensdiensten worden en diensten aanbieden zoals gekwalificeerde elektronische handtekeningen, zegels, tijdstempels of aangetekende bezorging.
• Een lidstaat of private entiteit ontwikkelt of exploiteert een EUDI Wallet-oplossing die gecertificeerd moet zijn voordat ze officieel kan worden opgenomen in de lijst.
• Een bestaande QTSP nadert de deadline voor de herbeoordeling na 24 maanden en moet zijn conformiteitsbeoordelingsrapport vernieuwen.
• Een organisatie breidt haar gekwalificeerde vertrouwensdiensten uit naar nieuwe dienstcategorieën waarvoor een afzonderlijke of bijgewerkte beoordeling vereist is.

Organisaties die geen gekwalificeerde status nastreven, maar vertrouwende partijen of wallet-vertrouwende partijen zijn, hoeven doorgaans niet rechtstreeks een beroep te doen op een certificeringsinstantie. Ze moeten echter mogelijk wel voldoen aan registratievereisten en naleving aantonen van toepasselijke beveiligings- en gegevensbeschermingsverplichtingen.

Voor organisaties in sectoren zoals overheid of wetenschap en onderzoek is het begrijpen van wanneer certificering van toepassing is een belangrijke vroege stap in elk eIDAS 2.0-gereedsheidsprogramma. U kunt relevante bronnen verkennen voor een duidelijker beeld van hoe de verordening van toepassing is op uw specifieke context.

Hoe moeten organisaties zich voorbereiden op een conformiteitsbeoordeling?

Organisaties die zich voorbereiden op een conformiteitsbeoordeling onder eIDAS 2.0 moeten beginnen met een gap-analyse, een uitgebreid documentatieraamwerk opbouwen en hun technische infrastructuur afstemmen op de toepasselijke uitvoeringsverordeningen en geharmoniseerde normen. Vroege voorbereiding vermindert de tijd en kosten van de beoordeling zelf aanzienlijk.

Een praktische voorbereidingsaanpak omvat verschillende belangrijke stappen. Bepaal eerst de exacte reikwijdte van de beoordeling door vast te stellen welke diensten of componenten worden beoordeeld en welke uitvoeringsverordeningen van toepassing zijn. Het eIDAS 2.0-kader omvat een groot aantal uitvoeringsverordeningen van de Commissie die alles bestrijken, van sleutelbeheer en certificaatformaten tot incidentrapportage en audittrails. Weten welke van toepassing zijn op uw dienst is essentieel voordat enig auditwerk begint.

Bouw en onderhoud ten tweede een robuuste bewijsbibliotheek. Certificeringsinstanties zullen gedocumenteerd beleid, procedures, technische specificaties en operationele gegevens opvragen. Organisaties die hun documentatie proactief beheren, in plaats van deze onder druk samen te stellen vlak voor een audit, hebben doorgaans soepelere beoordelingservaringen.

Voer ten derde interne voorbeoordelingen of gereedheidsreviews uit voordat u de certificeringsinstantie inschakelt. Dit helpt vroegtijdig tekortkomingen te identificeren en geeft teams de tijd om herstelmaatregelen te implementeren zonder de druk van een actieve audit. Veel organisaties werken in deze fase samen met externe adviseurs om een onafhankelijk beeld van hun gereedheid te krijgen.

Zorg er ten slotte voor dat sleutelpersoneel op het gebied van IT, compliance, juridische zaken en operaties zijn afgestemd op de beoordelingsreikwijdte en hun individuele verantwoordelijkheden. Een conformiteitsbeoordeling raakt meerdere onderdelen van een organisatie, en coördinatie tussen teams bepaalt vaak of het proces soepel verloopt of vertraging oploopt.

Hoe helpt TrustTech bij de gereedheid voor eIDAS 2.0-certificering

Voorbereiding op een conformiteitsbeoordeling onder eIDAS 2.0 is een aanzienlijke onderneming, met name voor organisaties die de verordening voor het eerst doorlopen of hun gekwalificeerde vertrouwensdiensten uitbreiden. TrustTech ondersteunt organisaties in elke fase van dit proces, waarbij diepgaande regelgevingskennis wordt gecombineerd met praktische implementatie-expertise.

Samenwerken met TrustTech betekent dat u gestructureerde ondersteuning krijgt op de gebieden die het meest van belang zijn voor certificeringsgereedheid:

• Gap-analyse en afbakening: Identificeren welke uitvoeringsverordeningen van toepassing zijn op uw diensten en waar uw huidige infrastructuur tekortschiet.
• Documentatie- en beleidsraamwerken: Opbouwen van de bewijsbibliotheek en governance-documentatie die certificeringsinstanties vereisen.
• Technische implementatie: Afstemmen van uw identiteitsverificatie, cryptografische infrastructuur en gegevensuitwisselingsprocessen op de eIDAS 2.0-normen.
• Gereedheidsreviews vóór de beoordeling: Onafhankelijke evaluatie van uw nalevingspositie voordat de formele audit begint.
• Doorlopende nalevingsondersteuning: Helpen uw gekwalificeerde status te behouden gedurende de herbeoordelingscyclus van 24 maanden en naarmate het regelgevingslandschap blijft evolueren.

Of u nu een financiële instelling bent die zich voorbereidt op de QTSP-status, een overheidsorgaan dat betrokken is bij de implementatie van EUDI Wallet, of een organisatie in een gereguleerde sector die werkt aan eIDAS 2.0-naleving, TrustTech biedt de digitale identiteitsoplossingen en expertise om van complexiteit naar duidelijkheid te gaan. Klaar voor de volgende stap? Neem contact op met TrustTech om uw certificeringsgereedheid te bespreken.