Vertrouwensankers zijn de gezaghebbende bronnen waarop het EUDI-wallet-ecosysteem vertrouwt om te verifiëren of een digitale attestatie, certificaat of identiteitsclaim betrouwbaar is. Ze vormen de basis van het gehele vertrouwenskader en fungeren als startpunt voor elke verificatieketen. Zonder erkende vertrouwensankers zou er geen betrouwbare manier zijn om te bevestigen dat een attestatie die in één EU-lidstaat is uitgegeven, daadwerkelijk betrouwbaar is wanneer deze in een andere lidstaat wordt gepresenteerd.
Voor organisaties die zich voorbereiden op het uitgeven of accepteren van attestaties via de Europese Digitale Identiteitswallet is begrijpen hoe vertrouwensankers werken een praktische vereiste voor het opbouwen van conforme en interoperabele digitale identiteitsprocessen. De onderstaande secties beantwoorden de meest gestelde vragen van organisaties over vertrouwensankers in het EUDI-wallet-kader.
Wie bepaalt welke vertrouwensankers worden erkend in de EUDI-wallet?
Erkende vertrouwensankers in het EUDI-wallet-kader worden bepaald door EU-lidstaten en de Europese Commissie, die opereren binnen een governancestructuur vastgelegd in Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, die Verordening (EU) 910/2014 wijzigt. Elke lidstaat is verantwoordelijk voor het bijhouden van een nationale trusted list van gekwalificeerde verleners van vertrouwensdiensten (QTSP’s) en andere gemachtigde entiteiten waarvan de certificaten en attestaties als geldig worden beschouwd binnen het ecosysteem.
Dit governancemodel bouwt voort op het bestaande eIDAS-kader, dat lidstaten al verplichtte om nationale trusted lists te publiceren en bij te houden conform ETSI TS 119 612. Wat eIDAS 2.0 toevoegt, is een bredere en meer gestructureerde aanpak, waarbij de erkenning wordt uitgebreid naar wallet-aanbieders, uitgevers van attestaties en relying parties, die allemaal verifieerbaar moeten zijn via een gemeenschappelijke vertrouwensinfrastructuur.
Het Architecture and Reference Framework (ARF), ontwikkeld door de eIDAS Expert Group, definieert de technische specificaties die dit erkenningsproces ondersteunen. De juridisch bindende vereisten volgen uit de verordening en de bijbehorende uitvoeringshandelingen. Het ARF beschrijft hoe vertrouwensankers worden geregistreerd, gepubliceerd en grensoverschrijdend vindbaar worden gemaakt via de EU List of Trusted Lists (LOTL). Dit betekent dat een vertrouwensanker dat in Duitsland wordt erkend, in principe kan worden geverifieerd door een relying party in Portugal, omdat beide opereren binnen hetzelfde gereguleerde kader.
Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg bepaalt dit op welke uitgevers van attestaties en relying parties je kunt vertrouwen zonder aanvullende verificatiestappen.
Hoe verifiëren vertrouwensankers de authenticiteit van digitale attestaties?
Verificatie van een attestatie in het EUDI-wallet-kader bestaat uit drie afzonderlijke controles, die elk een ander aspect van betrouwbaarheid vaststellen.
De eerste controle is de verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted list. Wanneer een attestatie wordt uitgegeven, ondertekent de uitgevende partij deze met een privésleutel. De bijbehorende publieke sleutel, gekoppeld aan een erkend vertrouwensanker op de nationale trusted list, stelt elke relying party in staat te bevestigen dat de attestatie daadwerkelijk is uitgegeven door een vertrouwde bron en sindsdien tamper-evident is gebleven. Deze controle kan volledig offline plaatsvinden.
De tweede controle betreft de intrekkingsstatus. Een geldige handtekening bevestigt de herkomst van de attestatie, maar zegt niets over de huidige geldigheid ervan. Via statusinformatie van de uitgever, bijvoorbeeld via een certificaatintrekkingslijst (CRL) of een Online Certificate Status Protocol (OCSP)-dienst, controleert de relying party of de attestatie niet is ingetrokken. Deze controle vereist contact met een externe bron.
De derde controle is de verificatie van de wallet unit attestation. Hiermee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Zonder deze controle is niet bevestigd dat de cryptografische sleutels van de gebruiker zich bevinden in een beveiligd middel dat voldoet aan de eisen van eIDAS 2.0. Ook deze controle vereist contact met externe bronnen.
Schrijf daarom niet zonder nuance dat een attestatie volledig offline kan worden geverifieerd. Alleen de handtekeningcontrole kan offline plaatsvinden. De intrekkings- en wallet unit-controles vereisen externe raadpleging.
Dit verificatiemodel maakt ook selective disclosure mogelijk. Een gebruiker kan zijn leeftijd bewijzen zonder zijn geboortedatum te onthullen, omdat het cryptografisch bewijs is gekoppeld aan het vertrouwensanker en niet aan de onderliggende ruwe gegevens.
Wat gebeurt er wanneer een vertrouwensanker wordt ingetrokken of verloopt?
Wanneer een vertrouwensanker wordt ingetrokken of verloopt, worden alle attestaties of certificaten die ervan afhankelijk zijn onverifieerbaar. Een relying party die een attestatie controleert aan de hand van een ingetrokken of verlopen vertrouwensanker ontvangt een negatief resultaat, wat betekent dat de attestatie niet langer als geldig kan worden geaccepteerd. Dit maakt het levenscyclusbeheer van vertrouwensankers een kritieke operationele zorg voor zowel uitgevers als relying parties.
Intrekking kan om verschillende redenen plaatsvinden:
- Een verlener van vertrouwensdiensten verliest zijn gekwalificeerde status of heeft zijn accreditatie ingetrokken
- Een cryptografische sleutel is gecompromitteerd of wordt vermoed gecompromitteerd te zijn
- Een lidstaat werkt zijn nationale trusted list bij na een regelgevende of governance-wijziging
- Een wallet-aanbieder of uitgever van attestaties voldoet niet langer aan de vereisten van eIDAS 2.0
Het EUDI-wallet-kader pakt dit aan via mechanismen zoals certificaatintrekkingslijsten (CRL’s) en OCSP-diensten, waarmee relying parties kunnen controleren of een vertrouwensanker nog geldig is. Van wallet-implementaties wordt verwacht dat zij deze controles uitvoeren tijdens de presentatie van attestaties.
Voor organisaties die afhankelijk zijn van attestaties van externe uitgevers is het belangrijk om processen op te bouwen die intrekking op een gestructureerde manier afhandelen. Een attestatie die gisteren geldig was, is vandaag mogelijk niet meer geldig als de onderliggende vertrouwensankerstatus is gewijzigd. Dit is met name relevant voor organisaties in de overheid en de gezondheidszorg, waar de gevolgen van het accepteren van een ongeldige attestatie aanzienlijk kunnen zijn.
Hoe verschillen vertrouwensankers van traditionele certificeringsinstanties?
Vertrouwensankers in het EUDI-wallet-kader zijn gerelateerd aan traditionele certificeringsinstanties (CA’s), maar vervullen een bredere en meer gereguleerde rol. Een traditionele CA geeft digitale certificaten uit die veilige communicatie mogelijk maken, meestal voor websites die TLS gebruiken. Vertrouwensankers in de context van de EUDI-wallet verankeren de betrouwbaarheid van identiteitsclaims, attestaties en de entiteiten die betrokken zijn bij het gehele identiteitsecosysteem.
De belangrijkste verschillen hebben betrekking op governance, reikwijdte en verantwoordingsplicht:
- Governance: Traditionele CA’s opereren onder industrienormen zoals de basisvereisten van het CA/Browser Forum. EUDI-wallet-vertrouwensankers opereren onder een juridisch bindend EU-regelgevingskader, waarbij lidstaten verantwoordelijk zijn voor de nauwkeurigheid van hun nationale trusted lists.
- Reikwijdte: CA’s beveiligen primair communicatiekanalen. Vertrouwensankers in het EUDI-wallet-ecosysteem beveiligen de identiteits- en attribuutclaims van personen, bedrijven en apparaten.
- Verantwoordingsplicht: Gekwalificeerde verleners van vertrouwensdiensten onder eIDAS 2.0 zijn onderworpen aan toezicht door nationale autoriteiten. Dit creëert een niveau van publieke verantwoordingsplicht dat verder gaat dan wat commerciële CA’s doorgaans ondervinden.
- Interoperabiliteit: EUDI-wallet-vertrouwensankers zijn ontworpen voor grensoverschrijdende erkenning in alle EU-lidstaten via de LOTL. Traditionele CA’s worden wereldwijd vertrouwd door browserleveranciers, maar zijn niet specifiek ontworpen voor identiteitsfederatie over nationale jurisdicties heen.
Voor organisaties die al vertrouwd zijn met PKI en certificaatbeheer zal de EUDI-wallet-vertrouwensinfrastructuur conceptueel bekend aanvoelen. De belangrijkste aanpassing is het begrijpen dat de governancelaag meer gestructureerd, meer juridisch verantwoordbaar en meer specifiek ontworpen is voor identiteitsgebruiksscenario’s dan traditionele CA-hiërarchieën.
Wat moeten organisaties verifiëren voordat ze op een vertrouwensanker vertrouwen?
Voordat organisaties vertrouwen op een vertrouwensanker in het EUDI-wallet-ecosysteem, moeten zij bevestigen dat het op de relevante nationale trusted list staat, dat de status momenteel actief is en dat het geschikt is voor het specifieke gebruiksscenario. Niet alle vertrouwensankers zijn gelijkwaardig. Sommige zijn gekwalificeerd voor identiteitsverificatie met een hoge zekerheidsgraad, terwijl andere mogelijk alleen geschikt zijn voor interacties met een lagere zekerheidsgraad.
Een praktische checklist voor organisaties omvat het volgende:
- Opname in trusted list: Bevestig dat het vertrouwensanker is opgenomen in de officiële nationale trusted list van de relevante lidstaat en dat de lijst actueel is
- Huidige geldigheid: Controleer of het vertrouwensanker niet is ingetrokken, geschorst of verlopen via de beschikbare intrekkingsmechanismen
- Zekerheidsgraad: Verifieer dat het vertrouwensanker het vereiste zekerheidsgraad voor jouw gebruiksscenario ondersteunt, of dat nu laag, substantieel of hoog is onder eIDAS 2.0
- Reikwijdte van de autorisatie: Bevestig dat het vertrouwensanker is geautoriseerd voor het type attestatie dat je wilt accepteren, waarbij je onderscheid maakt tussen QEAA, PuB-EAA en non-qualified EAA
- Grensoverschrijdende erkenning: Als je actief bent in meerdere lidstaten, verifieer dan dat het vertrouwensanker wordt erkend in de relevante jurisdicties via de LOTL
Organisaties moeten ook nadenken over hoe zij deze controles op schaal zullen automatiseren. Handmatige verificatie is niet praktisch in omgevingen met een hoog volume. Het vroegtijdig integreren van trusted list-raadplegingen en intrekkingsdiensten in jouw implementatieplanning bespaart later aanzienlijk veel inspanning.
Houd daarbij ook rekening met de registratieplicht onder CIR (EU) 2025/848 van 6 mei 2025: een relying party moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use worden de attributen en attestaties geregistreerd die worden opgevraagd. De wallet controleert verzoeken tegen deze geregistreerde scope. Een verzoek buiten deze scope kan door de wallet worden geweigerd.
Voor organisaties die hun kennis van de EUDI-wallet-vertrouwensinfrastructuur nog aan het ontwikkelen zijn, is het verkennen van beschikbare bronnen en richtlijnen over dit onderwerp een nuttig startpunt voordat implementatiebeslissingen worden genomen.
Hoe ondersteunt de ID Connector bij vertrouwensankers in het EUDI-wallet-kader
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel voert de ID Connector de volgende technische taken uit:
- Verificatie van de handtekening van de uitgever aan de hand van de relevante nationale trusted lists en de LOTL
- Controle van de intrekkingsstatus via CRL- en OCSP-diensten van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de scope onder CIR (EU) 2025/848 worden gesignaleerd
- Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de QTSP zelf
Dit is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de overheid. Publieke instanties moeten vanaf 24 december 2026 genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor relevante gereguleerde private sectoren geldt de acceptatieplicht van artikel 5f vanaf 24 december 2027. De vertrouwensankerinfrastructuur moet operationeel zijn voordat die datums worden bereikt.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw implementatietraject.