Authenticatie en autorisatie zijn twee afzonderlijke stappen in digitale identiteit: authenticatie bevestigt wie u bent, terwijl autorisatie bepaalt wat u mag doen. Onder eIDAS 2.0 wordt dit onderscheid bijzonder belangrijk, omdat de verordening bindende normen stelt voor hoe identiteit wordt geverifieerd binnen de EU, terwijl toegangsbeslissingen de verantwoordelijkheid blijven van individuele diensten en organisaties. De onderstaande secties lichten elk concept toe, leggen uit hoe ze samenhangen binnen het EUDI Wallet-ecosysteem en tonen waarom een correcte toepassing ervan van belang is voor naleving.

Hoe verschilt authenticatie van autorisatie in digitale identiteit?

Authenticatie is het proces waarbij wordt geverifieerd dat een persoon of entiteit is wie hij beweert te zijn. Autorisatie is het proces waarbij wordt bepaald waartoe die geverifieerde persoon of entiteit toegang heeft of wat hij mag doen. De twee zijn opeenvolgend: authenticatie komt altijd eerst, en autorisatie is afhankelijk van de uitkomst daarvan. De twee verwarren of als uitwisselbaar beschouwen leidt tot hiaten in zowel beveiliging als naleving.

Denk er zo over na: authenticatie is het moment waarop u uw paspoort toont aan de grens. De ambtenaar controleert of het document echt is en of het gezicht overeenkomt. Dat is identiteitsverificatie. Autorisatie is de beslissing of u het land mag binnenkomen op basis van uw visum, nationaliteit of andere criteria. Het paspoort verleent u op zichzelf geen toegang.

In digitale identiteitssystemen omvat authenticatie doorgaans inloggegevens zoals een gebruikersnaam en wachtwoord, een biometrische controle of een door de overheid uitgegeven digitale ID. Autorisatie past vervolgens regels, rollen of beleidsregels toe om te bepalen tot welke bronnen of diensten de geauthenticeerde gebruiker toegang heeft. Beide stappen zijn noodzakelijk, maar dienen fundamenteel verschillende doelen en worden beheerst door verschillende mechanismen.

Hoe gaat eIDAS 2.0 specifiek om met authenticatie?

eIDAS 2.0 richt zich voornamelijk op authenticatie. De verordening stelt een kader vast voor de manier waarop elektronische identificatieschema’s worden erkend door EU-lidstaten, en definieert betrouwbaarheidsniveaus die bepalen hoe betrouwbaar de identiteit van een persoon is geverifieerd. Deze betrouwbaarheidsniveaus — laag, substantieel en hoog — beschrijven de mate van vertrouwen die kan worden gesteld in een authenticatieclaim.

Onder eIDAS 2.0 is elke EU-lidstaat verplicht een Europese Digitale Identiteitsportemonnee beschikbaar te stellen aan burgers, inwoners en bedrijven. Deze portemonnee maakt EUDI Wallet-authenticatie mogelijk voor zowel publieke als private digitale diensten in de hele EU. Wanneer een gebruiker zich authenticeert met zijn portemonnee, ontvangt de vertrouwende partij cryptografisch geverifieerde identiteitsattributen, en niet slechts een token of een wachtwoord.

Wat eIDAS 2.0-authenticatie onderscheidend maakt, is de combinatie van portabiliteit en betrouwbaarheid. Een persoon die op het hoge betrouwbaarheidsniveau is geverifieerd in één lidstaat, kan diezelfde geverifieerde identiteit gebruiken om zich in een andere lidstaat te authenticeren. Deze grensoverschrijdende erkenning was een kernleemte in de oorspronkelijke eIDAS-verordening, en het herziene kader pakt dit direct aan door erkenning verplicht te maken in plaats van vrijwillig.

Het is vermeldenswaard dat eIDAS 2.0 geen autorisatiebeslissingen voorschrijft. Zodra een dienst een geverifieerde authenticatie heeft ontvangen van een portemonnee of eID-schema, valt wat die dienst met het resultaat doet — welke functies worden ontgrendeld, welke gegevens worden gedeeld, welke acties worden toegestaan — volledig buiten het toepassingsgebied van de verordening. Dat is een organisatorische en technische verantwoordelijkheid.

Welke rol speelt autorisatie in het EUDI Wallet-ecosysteem?

Autorisatie in het EUDI Wallet-ecosysteem is de laag die bovenop de geverifieerde identiteit zit. Nadat een gebruiker zich heeft geauthenticeerd met zijn portemonnee, gebruikt de vertrouwende partij de geverifieerde attributen om toegangsbeslissingen te nemen. De portemonnee zelf verleent geen rechten; hij levert betrouwbare, geverifieerde gegevens die diensten kunnen gebruiken om hun eigen autorisatielogica toe te passen.

De EUDI Wallet kan een breed scala aan geverifieerde attributen bevatten naast een basisidentiteit, waaronder beroepskwalificaties, leeftijdsverificatie, gezondheidsgegevens en arbeidsgegevens. Elk van deze attributen kan bijdragen aan verschillende autorisatiebeslissingen, afhankelijk van de dienst:

• Een bank kan een geverifieerd leeftijdsattribuut gebruiken om toegang tot bepaalde financiële producten te autoriseren
• Een zorgverlener kan een geverifieerde beroepskwalificatie gebruiken om toegang tot klinische systemen te autoriseren
• Een overheidsportaal kan een geverifieerd staatsburgerschapsattribuut gebruiken om toegang tot specifieke publieke diensten te autoriseren
• Een werkgever kan geverifieerde kwalificatiegegevens gebruiken om toegang tot gereguleerde werkstromen te autoriseren

Deze scheiding is bewust van ontwerp. De portemonnee beheert de identiteitskant; de dienst beheert de toegangskant. Gebruikers behouden controle over welke attributen zij delen, en zij delen alleen wat noodzakelijk is voor de specifieke interactie. Dit principe van selectieve openbaarmaking is een van de kernprivacybeschermingen die zijn ingebouwd in het EUDI Wallet-kader.

Waarom brengt het verwarren van authenticatie en autorisatie nalevingsrisico’s met zich mee?

Het verwarren van authenticatie en autorisatie brengt nalevingsrisico’s met zich mee, omdat het organisaties ertoe brengt ofwel te veel te vertrouwen op identiteitsverificatie als vervanging voor goede toegangscontrole, ofwel toegangsbeslissingen toe te passen voordat de identiteit correct is bevestigd. Beide scenario’s introduceren kwetsbaarheden die toezichthouders en auditors zullen signaleren.

Onder eIDAS 2.0 moeten organisaties die elektronische identificatie accepteren het betrouwbaarheidsniveau van het gebruikte schema respecteren. Als een organisatie een authenticatie met laag betrouwbaarheidsniveau als voldoende beschouwt voor een hoogrisicotransactie, voldoet zij niet aan de norm die de verordening vereist. Omgekeerd, als een organisatie autorisatieregels toepast voordat de authenticatie is voltooid, kan zij gevoelige bronnen blootstellen aan niet-geverifieerde gebruikers.

Er zijn ook indirecte risico’s in verband met andere regelgeving. De AVG vereist dat persoonsgegevens alleen worden geraadpleegd door degenen met een rechtmatige grondslag. AML- en KYC-kaders vereisen dat de identiteit van de klant correct is vastgesteld voordat bepaalde diensten worden verleend. PSD2 vereist sterke klantauthenticatie voor betalingsinitiatief. Als de authenticatiestap zwak, onvolledig of vermengd is met toegangscontrole, worden ook de daarop gebaseerde nalevingsvereisten in gevaar gebracht.

Een praktisch voorbeeld: een organisatie die toegang verleent tot een gereguleerde dienst uitsluitend op basis van het feit dat een gebruiker een credential presenteert, zonder het betrouwbaarheidsniveau van die credential te verifiëren of te bevestigen dat het aan de vereiste drempel voldoet, heeft de authenticatie effectief overgeslagen en is direct naar autorisatie gegaan. Die snelkoppeling creëert een nalevingshiaat dat moeilijk te verdedigen is tijdens een audit. Organisaties die actief zijn in de financiële dienstverlening of andere gereguleerde sectoren lopen hier bijzonder hoge risico’s.

Hoe moeten organisaties identiteitsstromen ontwerpen die de twee scheiden?

Organisaties moeten identiteitsstromen zo ontwerpen dat authenticatie en autorisatie worden behandeld als afzonderlijke, opeenvolgende fasen met duidelijke overdrachten daartussen. Dit betekent dat voor elke dienst of transactie moet worden vastgesteld welk niveau van identiteitszekerheid vereist is voordat de stroom wordt gebouwd, en vervolgens authenticatiemechanismen moeten worden geselecteerd die aan die vereiste voldoen voordat enige autorisatielogica wordt toegepast.

Een goed gestructureerde identiteitsstroom volgt doorgaans deze volgorde:

1. Definieer de betrouwbaarheidsvereiste — bepaal welk niveau van identiteitszekerheid de dienst vereist op basis van het risicoprofiel en de regelgevende verplichtingen
2. Selecteer de authenticatiemethode — kies een eID-schema, portemonnee-gebaseerde authenticatie of een ander mechanisme dat voldoet aan of dat betrouwbaarheidsniveau overtreft
3. Verifieer de identiteit — voltooi de authenticatiestap en ontvang cryptografisch geverifieerde attributen
4. Pas autorisatieregels toe — gebruik de geverifieerde attributen om toegangsbeleid, rollen en rechten te evalueren
5. Registreer en controleer — houd een volledig overzicht bij van zowel de authenticatiegebeurtenis als de autorisatiebeslissing voor nalevingsdoeleinden

Organisaties moeten ook vermijden systemen te bouwen waarbij authenticatie en autorisatie door dezelfde component worden afgehandeld of waarbij de grens tussen beide onduidelijk is. Scheiding van verantwoordelijkheden is niet alleen goede architectuur; het maakt naleving gemakkelijker aantoonbaar en audittrails gemakkelijker te onderhouden. Voor organisaties in sectoren zoals gezondheidszorg of overheid, waar zowel identiteitszekerheid als toegangscontrole regelgevend gewicht dragen, is deze scheiding essentieel.

Herbruikbare identiteit is een ander ontwerpprincipe dat de moeite waard is om in te bouwen. Als een gebruiker al is geverifieerd op het vereiste betrouwbaarheidsniveau elders, kan een goed ontworpen systeem die geverifieerde credential accepteren in plaats van de gebruiker het proces opnieuw te laten doorlopen. Dit is een van de belangrijkste voordelen die de EUDI Wallet mogelijk maakt, en het vermindert wrijving zonder de beveiliging te compromitteren.

Hoe TrustTech helpt met authenticatie en autorisatie in eIDAS 2.0

Het correct maken van het onderscheid tussen authenticatie en autorisatie is niet alleen een technische uitdaging; het is ook een strategische. Organisaties moeten hun regelgevende verplichtingen begrijpen, identiteitsstromen ontwerpen die daaraan voldoen, en infrastructuur implementeren die beide stappen veilig, controleerbaar en gebruiksvriendelijk houdt.

TrustTech ondersteunt organisaties bij elk onderdeel van dit proces. Specifiek helpt TrustTech met:

• Het in kaart brengen van uw diensten op de juiste eIDAS 2.0-betrouwbaarheidsniveaus en het identificeren waar huidige authenticatiemethoden tekortschieten
• Het ontwerpen van identiteitsstromen die authenticatie en autorisatie duidelijk scheiden en voldoen aan de vereisten van regelgeving zoals de AVG, AML, KYC en PSD2
• Het implementeren van portemonnee-klare digitale identiteitsinfrastructuur die EUDI Wallet-authenticatie en selectieve attribuutopenbaarmaking ondersteunt
• Het bouwen van herbruikbare identiteitsstromen zodat geverifieerde credentials kunnen worden gebruikt voor meerdere diensten zonder het verificatieproces te herhalen
• Het verbinden van identiteitsverificatie, kwalificatiecontroles en digitale handtekeningen in één enkel, controleerbaar proces

Of u nu in de beginfase zit van het begrijpen wat eIDAS 2.0 betekent voor uw organisatie of klaar bent om te beginnen met implementatie, TrustTech brengt zowel de technische diepgang als de praktische ervaring om u te begeleiden. Verken onze identiteitsoplossingen of neem contact op om uw specifieke situatie te bespreken.