Gekwalificeerde vertrouwensdiensten onder eIDAS

Kort antwoord: Een gekwalificeerde vertrouwensdienst is een vertrouwensdienst die voldoet aan de strenge eisen van de eIDAS-verordening en is opgenomen in de nationale vertrouwenslijst. Alleen aanbieders met de formele gekwalificeerde status — verleend door het nationale toezichthoudend orgaan — mogen het EU-vertrouwensmerk voeren. In Nederland houdt de Rijksinspectie Digitale Infrastructuur (RDI) toezicht.

Wat zijn gekwalificeerde vertrouwensdiensten?

De eIDAS-verordening (Verordening (EU) 910/2014, gewijzigd door Verordening (EU) 2024/1183) onderscheidt gewone vertrouwensdiensten van gekwalificeerde. Gekwalificeerde diensten dragen specifieke rechtsgevolgen: een gekwalificeerde elektronische handtekening heeft dezelfde rechtskracht als een handgeschreven handtekening (art. 25), een gekwalificeerd elektronisch zegel geniet het vermoeden van integriteit en herkomst (art. 35), en een gekwalificeerd elektronisch tijdstempel geniet het vermoeden van juistheid van datum en tijdstip (art. 41).

De volgende categorieën kunnen worden aangeboden als gekwalificeerde vertrouwensdienst: gekwalificeerde elektronische handtekeningen en bijbehorende certificaten, gekwalificeerde elektronische zegels, certificaten voor websiteauthenticatie (QWAC), gekwalificeerde elektronische tijdstempels, gekwalificeerde elektronische aangetekende bezorgdiensten, elektronische archiveringsdiensten, beheer van gekwalificeerde aanmaakvoorzieningen voor handtekeningen en zegels op afstand, gekwalificeerde elektronische attesteringen van attributen, en gekwalificeerde elektronische grootboeken.

Verkrijgen van de gekwalificeerde status (art. 21)

Een aanbieder die gekwalificeerde status wil verkrijgen, stelt het toezichthoudend orgaan hiervan in kennis en voegt een conformiteitsbeoordelingsrapport bij van een geaccrediteerde conformiteitsbeoordelingsinstantie. Het toezichthoudend orgaan verleent de gekwalificeerde status uiterlijk drie maanden na de kennisgeving. Pas nadat de status op de nationale vertrouwenslijst is opgenomen, mag de aanbieder gekwalificeerde diensten verlenen.

Doorlopend toezicht (art. 20)

Gekwalificeerde aanbieders worden minstens eens in de 24 maanden op eigen kosten geauditeerd door een conformiteitsbeoordelingsinstantie. De aanbieder stelt het toezichthoudend orgaan minstens één maand voor een geplande audit hiervan in kennis. Het conformiteitsbeoordelingsrapport moet de aanbieder binnen drie werkdagen na ontvangst aan het toezichthoudend orgaan voorleggen — de termijn loopt dus vanaf het moment dat de aanbieder het rapport van de beoordelingsinstantie ontvangt, niet vanaf de opstelling ervan. Het toezichthoudend orgaan kan op elk moment een aanvullende beoordeling opvragen.

Nationale vertrouwenslijsten en het EU-vertrouwensmerk (art. 22-23)

Elke lidstaat stelt een vertrouwenslijst op, onderhoudt deze en publiceert haar in elektronisch ondertekende vorm die geschikt is voor geautomatiseerde verwerking (art. 22). Zodra de gekwalificeerde status op de lijst is opgenomen, mag de aanbieder het EU-vertrouwensmerk voeren (art. 23). Diensten zijn uitsluitend als gekwalificeerd te beschouwen indien zij als zodanig op de geldige nationale vertrouwenslijst staan. Het Europese portaal biedt toegang tot alle nationale lijsten via de EU Trusted List Browser.

Verplichtingen voor gekwalificeerde aanbieders (art. 24)

Naast de auditverplichting moeten gekwalificeerde aanbieders onder meer beschikken over voldoende financiële middelen of aansprakelijkheidsverzekering, personeel met de vereiste deskundigheid en betrouwbaarheid inzetten, het toezichthoudend orgaan minstens één maand voor elke geplande wijziging (en drie maanden voor het beëindigen van activiteiten) informeren, en certificaten op verzoek binnen 24 uur intrekken.