Wat is het verschil tussen eIDAS 2.0 en digitale certificaten?

eIDAS 2.0 en digitale certificaten zijn gerelateerd, maar fundamenteel verschillende instrumenten. Digitale certificaten zijn cryptografische referenties die worden gebruikt om identiteit te verifiëren of communicatie te beveiligen, terwijl eIDAS 2.0 de informele benaming is voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt en een regelgevingskader vormt dat bepaalt hoe digitale identiteit, trust services en attestaties worden uitgegeven, erkend en gebruikt binnen de EU. Kortom, digitale certificaten zijn één onderdeel binnen het bredere eIDAS-ecosysteem.

Het begrijpen van dit onderscheid is belangrijk omdat eIDAS 2.0 nieuwe concepten introduceert, zoals attestaties en de EUDI-wallet, die veel verder gaan dan wat traditionele certificaten kunnen doen. De onderstaande secties behandelen de belangrijkste verschillen, hoe de twee zich tot elkaar verhouden en wat dit betekent voor organisaties die vandaag de dag afhankelijk zijn van certificaten.

Hoe gaat eIDAS 2.0 verder dan traditionele digitale certificaten?

eIDAS 2.0 gaat verder dan digitale certificaten door een volledig kader voor digitale identiteit te creëren dat niet alleen authenticatie en ondertekening omvat, maar ook het draagbare, door de gebruiker gecontroleerde delen van geverifieerde persoons- en organisatiegegevens. Waar traditionele certificaten zich richten op het bewijzen dat een sleutel toebehoort aan een entiteit, stelt eIDAS 2.0 mensen en bedrijven in staat specifieke attributen te delen, zoals kwalificaties of leeftijd, zonder onnodige persoonlijke informatie bloot te stellen.

De oorspronkelijke eIDAS-verordening, van kracht sinds 2014, stelde wederzijdse erkenning van elektronische identiteitssystemen in de EU-lidstaten vast en introduceerde gekwalificeerde vertrouwensdiensten, waaronder elektronische handtekeningen en certificaten. Er bleven echter aanzienlijke lacunes: deelname was optioneel voor lidstaten, de dekking van de private sector was beperkt en er was geen gestandaardiseerde manier voor burgers om hun identiteitsattestaties over grenzen heen mee te nemen in één enkele, veilige applicatie.

eIDAS 2.0 pakt deze lacunes aan door de EUDI-wallet verplicht te stellen voor alle lidstaten. Elke EU-burger, ingezetene en bedrijf kan een wallet gebruiken om geverifieerde identiteitsgegevens op te slaan, documenten zoals diploma’s of rijbewijzen, en om digitaal te authenticeren of te ondertekenen bij zowel publieke als private sector diensten. Dit verschuift het model van een verzameling technische normen voor certificaten naar een volledig identiteitsecosysteem gebaseerd op interoperabiliteit, gebruikerscontrole en regelgevingszekerheid.

Wat zijn gekwalificeerde digitale certificaten onder eIDAS?

Gekwalificeerde digitale certificaten onder eIDAS zijn cryptografische certificaten uitgegeven door een Gekwalificeerde Vertrouwensdienstverlener (QTSP) die voldoen aan de hoogste beveiligings- en juridische normen die in de verordening zijn vastgelegd. Ze worden voornamelijk gebruikt voor gekwalificeerde elektronische handtekeningen (QES) en gekwalificeerde elektronische zegels. Een QES heeft op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening in alle EU-lidstaten. Een gekwalificeerd elektronisch zegel heeft een ander juridisch effect en is niet het equivalent van een handtekening: het bevestigt de herkomst en integriteit van gegevens die afkomstig zijn van een rechtspersoon.

Er zijn twee hoofdtypen die relevant zijn voor de meeste organisaties:

• Gekwalificeerde certificaten voor elektronische handtekeningen: Uitgegeven aan natuurlijke personen, koppelen deze een publieke sleutel aan een geverifieerde individuele identiteit en worden gebruikt om documenten te ondertekenen met volledige juridische geldigheid onder EU-recht.
• Gekwalificeerde certificaten voor elektronische zegels: Uitgegeven aan rechtspersonen zoals bedrijven of publieke instanties, bevestigen deze dat een document of gegevens afkomstig zijn van een specifieke organisatie en tamper-evident zijn.

QTSP’s die deze certificaten uitgeven, staan vermeld op nationale trusted lists, die door elke EU-lidstaat worden gepubliceerd en worden samengebracht in de EU List of Trusted Lists (LOTL). Deze publieke infrastructuur is wat gekwalificeerde certificaten hun grensoverschrijdende juridische erkenning geeft. Een certificaat uitgegeven door een QTSP in Nederland wordt bijvoorbeeld automatisch erkend in Duitsland, Frankrijk of elke andere lidstaat zonder aanvullende verificatiestappen.

Onder eIDAS 2.0 wordt de reikwijdte van gekwalificeerde vertrouwensdiensten verder uitgebreid met nieuwe categorieën zoals gekwalificeerde elektronische attesteringen van attributen, een vorm van attestaties die in de volgende sectie wordt besproken.

Hoe verschillen attestaties van digitale certificaten?

Attestaties verschillen van digitale certificaten in wat ze vertegenwoordigen en hoe ze worden gebruikt. Een digitaal certificaat bewijst dat een cryptografische sleutel toebehoort aan een specifieke entiteit. Een attestatie bewijst dat een specifieke claim over een persoon of organisatie waar is, bijvoorbeeld dat iemand een geldig rijbewijs heeft, een diploma heeft behaald, of bevoegd is om namens een bedrijf te handelen.

Dit onderscheid heeft praktische gevolgen. Met een traditioneel certificaat ontvangt de relying party bewijs van identiteit op cryptografisch niveau. Met een attestatie kan de houder via selective disclosure alleen de attributen delen die relevant zijn voor een bepaalde interactie. Iemand die bewijst ouder dan 18 te zijn, hoeft zijn volledige geboortedatum niet te delen. Iemand die professionele kwalificaties bewijst, hoeft zijn thuisadres niet te delen. Deze selective disclosure is een kernfunctie voor privacy van het attestatiemodel. Het vermindert de hoeveelheid gedeelde gegevens, maar sluit tracking of profiling niet volledig uit.

Onder eIDAS 2.0 brengt een nieuwe categorie genaamd gekwalificeerde elektronische attesteringen van attributen (QEAA) attestaties in het gereguleerde vertrouwenskader. QEAA’s worden uitgegeven door QTSP’s en hebben een juridische status vergelijkbaar met gekwalificeerde certificaten, maar ze zijn ontworpen om attributen te beschrijven in plaats van sleutels te koppelen. Ze zijn de bouwsteen voor wat gebruikers zullen opslaan en delen via de EUDI-wallet. Naast QEAA’s kent eIDAS 2.0 ook PuB-EAA’s, uitgegeven door publieke of daartoe gemachtigde instanties, en non-qualified EAA’s, die buiten het gekwalificeerde kader vallen. PuB-EAA’s vallen niet onder de categorie non-qualified EAA’s.

In technische termen gebruiken attestaties formaten zoals mdoc en SD-JWT VC, die compatibel zijn met de EUDI-wallet-architectuur zoals beschreven in de Architecture and Reference Framework (ARF). Uitgifte verloopt via het OID4VCI-protocol en presentatie via OID4VP. Traditionele digitale certificaten volgen de X.509-standaarden. Beide zijn afhankelijk van cryptografische handtekeningen voor integriteit, maar ze dienen verschillende doeleinden binnen het digitale identiteitslandschap.

Kunnen digitale certificaten en eIDAS 2.0 samenwerken?

Ja, digitale certificaten en eIDAS 2.0 werken samen en zullen dat blijven doen. Gekwalificeerde certificaten blijven een centraal onderdeel van het eIDAS 2.0-vertrouwenskader, met name voor elektronische handtekeningen, elektronische zegels en websiteauthenticatie. eIDAS 2.0 wijzigt Verordening (EU) nr. 910/2014 en vervangt die niet. Het breidt het ecosysteem uit met nieuwe instrumenten zoals attestaties en de EUDI-wallet.

De praktische relatie ziet er als volgt uit:

1. Certificaten ondersteunen trust services: QTSP’s blijven gekwalificeerde certificaten uitgeven voor handtekeningen en zegels. Deze blijven juridisch vereist voor veel gereguleerde processen, zoals het ondertekenen van contracten, het authenticeren van officiële documenten of het verzegelen van gegevens die tussen organisaties worden uitgewisseld.
2. Wallets kunnen op certificaten gebaseerde attestaties bevatten: De EUDI-wallet is ontworpen om zowel traditionele identiteitsdocumenten als attestaties op te slaan en te presenteren. In sommige stromen kan een gekwalificeerd certificaat achter de schermen worden gebruikt om een attestatie te ondertekenen die vervolgens vanuit de wallet wordt gepresenteerd.
3. Attribuutattestaties vullen certificaten aan: Waar een certificaat bewijst wie je bent, bewijst een QEAA iets over jou. Samen dekken ze een breder scala aan identiteits- en compliancegebruiksgevallen dan elk afzonderlijk kan afhandelen.

Voor organisaties die actief zijn in gereguleerde sectoren zoals financiële dienstverlening of overheid, betekent dit dat bestaande op certificaten gebaseerde infrastructuur niet overbodig wordt. Het wordt één laag binnen een rijkere identiteitsarchitectuur die ook wallet-gebaseerde interacties en het delen van attributen ondersteunt.

Wat betekent dit voor organisaties die vandaag de dag certificaten gebruiken?

Voor organisaties die vandaag de dag afhankelijk zijn van digitale certificaten, signaleert eIDAS 2.0 een periode van uitbreiding. Gekwalificeerde certificaten voor handtekeningen en zegels blijven geldig en juridisch erkend. Organisaties zullen echter in toenemende mate nieuwe interactiepatronen moeten ondersteunen die verder gaan dan wat certificaten alleen kunnen bieden, met name naarmate de EUDI-wallet breder wordt geadopteerd.

De meest directe overwegingen zijn:

• Compliancegereedheid: eIDAS 2.0 introduceert nieuwe verplichtingen. Publieke instanties moeten genotificeerde wallets vanaf 24 december 2026 accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt artikel 5f voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van de acceptatieplicht uitgezonderd. Organisaties binnen de reikwijdte moeten beoordelen of hun huidige identiteitsinfrastructuur wallet-gebaseerde stromen naast op certificaten gebaseerde stromen kan accommoderen.
• Registratie als relying party: Een organisatie die walletdata wil opvragen, moet zich onder CIR (EU) 2025/848 van 6 mei 2025 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat zij attestaties kan opvragen. Bij registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een relying party heeft voor walletacceptatie niet automatisch een QTSP nodig. Een QTSP komt in beeld wanneer de organisatie zelf gekwalificeerde handtekeningen of attestaties wil uitgeven of gebruiken. Een leverancier die walletdata namens een klant verwerkt, wordt daardoor niet zelf de relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
• Interoperabiliteit: Systemen die vandaag de dag uitsluitend afhankelijk zijn van X.509-certificaten voor identiteitsverificatie, moeten mogelijk worden bijgewerkt om attestaties en EUDI-wallet-presentaties te verwerken, die andere technische standaarden gebruiken zoals mdoc en SD-JWT VC.
• Verificatie van attestaties: Het verifiëren van een attestatie is geen enkelvoudige cryptografische controle. Een relying party voert drie afzonderlijke controles uit: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en controle van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
• Gebruikerservaring: Certificaten zijn grotendeels onzichtbaar voor eindgebruikers en worden beheerd door software of hardwaretokens. De EUDI-wallet plaatst identiteitsbeheer rechtstreeks in handen van gebruikers. Bij iedere presentatie keurt de gebruiker het verzoek afzonderlijk goed. Dit verandert hoe onboarding, authenticatie en toestemmingsstromen worden ontworpen.
• Sectorspecifieke vereisten: In de gezondheidszorg en farmaceutische industrie kunnen attestaties bijvoorbeeld papieren processen voor recepten of professionele kwalificaties vervangen, terwijl gekwalificeerde certificaten het ondertekenen van documenten en audittrails blijven ondersteunen. De erkenning van beroepskwalificaties volgt uit Richtlijn 2005/36/EG: de wallet kan gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag.

Organisaties die vroeg handelen, zijn beter gepositioneerd om de overgang zonder verstoring te doorstaan. Dit betekent het auditeren van huidige certificaatgebruiksgevallen, het identificeren waar attestaties of wallet-gebaseerde stromen waarde kunnen toevoegen, en het bouwen naar een architectuur die beide parallel ondersteunt. Jouw implementatieaanpak nu herzien, in plaats van te wachten op regelgevingsdeadlines, vermindert risico’s en creëert een meer schaalbare basis voor digitale identiteit.

Hoe TrustTech helpt met eIDAS 2.0 en digitale certificaten

De relatie tussen eIDAS 2.0, gekwalificeerde certificaten en attestaties vraagt om een infrastructuur die beide werelden verbindt. De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet doet de ID Connector het volgende:

• Walletacceptatie voor iedere relevante genotificeerde wallet, ongeacht de wallet solution of de lidstaat van uitgifte
• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, samengebracht in de LOTL
• Controle van de intrekkingsstatus via de statusinformatie van de uitgever
• Validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope per relying party, zodat verzoeken binnen de grenzen van CIR (EU) 2025/848 blijven
• Hergebruik van geverifieerde identiteitsdata voor herbruikbare onboardingstromen in financiële dienstverlening, overheid, gezondheidszorg en farma
• Gekwalificeerd tekenen via een aangesloten QTSP, voor processen waar een QES juridisch vereist is

Verken onze identiteitsoplossingen of neem contact op om te bespreken hoe de ID Connector aansluit op jouw huidige certificaatinfrastructuur en wallet-gebaseerde stromen.