Een gekwalificeerd websiteauthenticatiecertificaat (QWAC) is een specifiek type digitaal certificaat dat wordt uitgegeven door een gekwalificeerde vertrouwensdienstverlener (QTSP) onder Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, en dat cryptografisch de juridische identiteit bevestigt van de organisatie achter een website. Anders dan standaard SSL/TLS-certificaten draagt een QWAC een wettelijk erkend betrouwbaarheidsniveau in alle EU-lidstaten, waarmee websitebezoekers geverifieerd bewijs krijgen van de identiteit van de organisatie waarmee zij te maken hebben.
Onder eIDAS 2.0 spelen QWACs een concrete rol in het bredere digitale identiteitslandschap, met name nu organisaties zich voorbereiden op het EUDI-wallet-ecosysteem. De onderstaande secties beantwoorden de meest gestelde vragen over hoe QWACs werken, wie ze nodig heeft en hoe je er een kunt verkrijgen.
Hoe verschilt een QWAC van een standaard SSL/TLS-certificaat?
Een QWAC verschilt van een standaard SSL/TLS-certificaat voornamelijk in zijn juridische status en de diepgang van de identiteitsverificatie die eraan ten grondslag ligt. Elk SSL/TLS-certificaat versleutelt de verbinding tussen een browser en een server. Een QWAC biedt daarbovenop wettelijk erkend bewijs van de identiteit van de organisatie onder EU-recht, uitgegeven door een QTSP die is opgenomen in een nationale trusted list.
Standaard SSL/TLS-certificaten zijn er in verschillende typen. Domeinvalidatie (DV)-certificaten bevestigen alleen dat de aanvrager het domein beheert. Extended Validation (EV)-certificaten gaan verder met organisatorische controles, maar hebben geen juridische status onder EU-regelgeving. Een QWAC voldoet aan strikte vereisten die zijn vastgelegd in eIDAS 2.0, dat Verordening (EU) 910/2014 wijzigt, en wordt ondersteund door een QTSP die verantwoording aflegt onder Europees recht.
In de praktijk communiceert een QWAC iets wezenlijks aan zowel gebruikers als relying parties: de verbinding is versleuteld én de identiteit achter de website is formeel geverifieerd en juridisch toerekenbaar.
Aan welke vereisten moet een QWAC voldoen onder eIDAS 2.0?
Onder eIDAS 2.0 moet een gekwalificeerd websiteauthenticatiecertificaat worden uitgegeven door een QTSP die is opgenomen in de nationale trusted list van een EU-lidstaat, en het moet een geverifieerde set identiteitsattributen bevatten over de organisatie die de website exploiteert. Het certificaat moet voldoen aan de referentienormen die zijn vastgesteld door de uitvoeringshandelingen van de Europese Commissie.
Concreet moet een QWAC die wordt uitgegeven onder eIDAS 2.0 het volgende bevatten:
- De volledige juridische naam van de organisatie
- Het land van vestiging
- De domeinnaam of domeinnamen die het certificaat dekt
- Een aanduiding dat het een gekwalificeerd certificaat voor websiteauthenticatie betreft
- De identiteit van de uitgevende QTSP en een verwijzing naar zijn gekwalificeerde status
De QTSP die de QWAC uitgeeft, moet de identiteit van de organisatie verifiëren vóór uitgifte, volgens vastgestelde procedures. Dit gaat een significante stap verder dan de geautomatiseerde domeincontroles die worden gebruikt voor standaardcertificaten. De Europese Commissie heeft uitvoeringshandelingen gepubliceerd met betrekking tot referentienormen voor gekwalificeerde certificaten voor websiteauthenticatie, die de technische basis vormen die QTSPs moeten volgen.
Welke organisaties zijn verplicht een QWAC te gebruiken?
Onder eIDAS 2.0 zijn bepaalde categorieën websites die worden geëxploiteerd door publieke instanties en gereguleerde dienstverleners verplicht om gekwalificeerde websiteauthenticatiecertificaten te ondersteunen. De verordening richt zich specifiek op websites die gebruikers een hoog betrouwbaarheidsniveau moeten bieden over de identiteit van de organisatie, met name in contexten waar vertrouwen cruciaal is.
In de praktijk zijn de meest direct betrokken organisaties:
- Publieke instanties die digitale overheidsdiensten aanbieden
- Financiële instellingen en banken die online platforms exploiteren
- Zorgverleners die gevoelige persoonsgegevens verwerken
- Elke organisatie die optreedt als relying party in het EUDI-wallet-ecosysteem
Naast wettelijke verplichtingen kiezen veel private organisaties in vertrouwensgevoelige sectoren ervoor om QWACs vrijwillig te adopteren. Als jouw organisatie actief is in de financiële dienstverlening of overheidsdiensten, geeft een QWAC jouw gebruikers en zakenpartners het signaal dat jouw identiteit formeel is geverifieerd onder EU-recht. Dit wordt steeds relevanter naarmate digitale interacties persoonlijke processen vervangen en gebruikers zich meer bewust worden van de risico’s van identiteitsfraude.
Hoe werkt een QWAC samen met de EUDI-wallet?
Een QWAC speelt een directe rol in het EUDI-wallet-ecosysteem door walletgebruikers in staat te stellen de identiteit te verifiëren van de website of dienst waarmee zij interacteren voordat zij persoonlijke gegevens delen. Wanneer een gebruiker gegevens uit zijn EUDI-wallet presenteert aan een relying party, kan de wallet de QWAC van de ontvangende website controleren om de juridische identiteit te bevestigen voordat informatie wordt vrijgegeven.
Dit is een concreet vertrouwensmechanisme. De EUDI-wallet is ontworpen om gebruikers controle te geven over hun gegevens, maar die controle is alleen zinvol als gebruikers ook kunnen verifiëren wie hun gegevens opvraagt. Een QWAC biedt die zekerheid aan de kant van de relying party in de interactie.
Voor organisaties die zich voorbereiden om relying party te worden in het EUDI-wallet-ecosysteem is het beschikken over een geldig QWAC een fundamenteel element van de vertrouwensinfrastructuur die op wallet gebaseerde interacties mogelijk maakt. Organisaties die hun aanpak van digitale identiteit onderzoeken, dienen QWAC-adoptie mee te nemen in hun bredere eIDAS 2.0-voorbereiding. Daarbij geldt dat een relying party geen QTSP nodig heeft om een EUDI-wallet te accepteren. Een QTSP komt in beeld wanneer de organisatie ook gebruik wil maken van gekwalificeerde trust services, zoals gekwalificeerde elektronische handtekeningen of gekwalificeerde attestaties.
Wat is het verschil tussen een QWAC en een QSeal-certificaat?
Een QWAC en een QSeal (gekwalificeerd elektronisch zegeltcertificaat) dienen verschillende doeleinden binnen het eIDAS 2.0-vertrouwenskader. Een QWAC authenticeert een website en bevestigt de juridische identiteit van de organisatie die deze exploiteert. Een QSeal wordt gebruikt om de integriteit en herkomst te beschermen van gegevens of documenten die door een organisatie worden uitgegeven, en fungeert als digitaal equivalent van een bedrijfsstempel. Een gekwalificeerd elektronisch zegel heeft een ander juridisch effect dan een handtekening en mag niet als equivalent daarvan worden beschreven.
Het belangrijkste onderscheid draait om wat er wordt geauthenticeerd en in welke richting. Een QWAC vertelt een gebruiker die een website bezoekt: “Deze site wordt geëxploiteerd door deze geverifieerde juridische entiteit.” Een QSeal vertelt een ontvanger van een document of gegevenspakket: “Deze inhoud is uitgegeven door deze geverifieerde juridische entiteit en is niet gewijzigd.”
In de context van de EUDI-wallet werken beide certificaten vaak samen. Een relying-party-website kan een QWAC gebruiken om zichzelf te identificeren aan een walletgebruiker, terwijl ook een QSeal wordt gebruikt om de attestaties of gegevens te ondertekenen die zij terugsturen naar gebruikers. Inzicht in beide is belangrijk voor organisaties die digitale identiteitsoplossingen bouwen die authenticatie, gegevensintegriteit en regelgevingsconformiteit in één coherente architectuur moeten omvatten.
Hoe kan een organisatie een QWAC verkrijgen?
Om een gekwalificeerd websiteauthenticatiecertificaat te verkrijgen, moet een organisatie een aanvraag indienen bij een QTSP die bevoegd is QWACs uit te geven en is opgenomen in de nationale trusted list van een EU-lidstaat. Het proces omvat identiteitsverificatie van de rechtspersoon, validatie van het domeinbezit en toetsing van de aanvraag aan de vereisten die zijn vastgelegd in eIDAS 2.0.
De stappen volgen doorgaans deze volgorde:
- Identificeer een gekwalificeerde vertrouwensdienstverlener op de EU List of Trusted Lists (LOTL) die QWAC-uitgifte aanbiedt in jouw jurisdictie.
- Dien een aanvraag in met documentatie die de juridische identiteit van jouw organisatie, registratiegegevens en de te dekken domeinnamen bevestigt.
- Voltooi het identiteitsverificatieproces zoals vereist door de QTSP, wat documentcontroles en verificatie aan de hand van officiële registers kan omvatten.
- Ontvang en installeer het certificaat op jouw webserver, ter vervanging van of aanvulling op jouw bestaande SSL/TLS-certificaat.
- Beheer en vernieuw het certificaat in overeenstemming met de geldigheidsduur die is vastgesteld door de uitgevende QTSP, doorgaans één tot twee jaar.
Organisaties in de gezondheidszorg, farmaceutische industrie en life sciences, en andere gereguleerde sectoren dienen ook te overwegen hoe QWAC-uitgifte past binnen hun bredere nalevingsprogramma, met name waar eIDAS 2.0-verplichtingen overlappen met sectorspecifieke regelgeving.
Hoe de ID Connector van TrustTech werkt met gekwalificeerde websiteauthenticatiecertificaten
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die werken met QWACs en het EUDI-wallet-ecosysteem ondersteunt de ID Connector concreet de volgende taken:
- Verificatie van handtekeningen van uitgevers tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus van certificaten en attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de geregistreerde intended use
- Ondersteuning van gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de QTSP zelf
De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government die als relying party willen opereren binnen het EUDI-wallet-ecosysteem en daarbij moeten voldoen aan de verplichtingen uit eIDAS 2.0, waaronder de registratieplicht onder CIR (EU) 2025/848 en de acceptatieverplichtingen die vanaf 24 december 2026 gelden voor publieke instanties en vanaf 24 december 2027 voor relevante gereguleerde private sectoren onder artikel 5f van de verordening.
Neem contact op met TrustTech om te bespreken hoe de ID Connector jouw organisatie in staat stelt om EUDI-wallets te accepteren en te verifiëren in lijn met de eIDAS 2.0-vereisten.