Wat is een Gekwalificeerde Vertrouwensdienstverlener (QTSP) en hoe kies je de juiste?

De Europese Digitale Identiteit is een project dat de Europese Unie (EU) heeft geïnitieerd om het continent voor te bereiden op de toekomst van communicatie, handel en identiteitsverificatie. Door de eIDAS-verordening bij te werken met de Europese Digitale Identiteitsverordening, bekend als eIDAS 2, wil de EU een gelijk speelveld creëren voor identificatie en authenticatie in alle lidstaten.

Dit is waar het succes van eIDAS 2-gekwalificeerde vertrouwensdienstverleners (QTSP's) een cruciale rol speelt. Zij zijn gemachtigd om de meest veilige vertrouwensdiensten te faciliteren, waaronder elektronische handtekeningen en elektronische zegels. De zekerheid die QTSP's bieden, zal de Unie helpen om de persoonlijke gegevens van haar burgers te beschermen, waardoor zij gemakkelijker bankrekeningen kunnen openen, auto's kunnen huren en zaken kunnen doen met bedrijven in de hele EU. Zoals de Unie verklaart:

Je persoonlijke gegevens vertellen het verhaal van je leven; jij zou degene moeten zijn die het controleert en beslist wanneer en met wie je gegevens worden gedeeld.

Om jouw bedrijf te laten floreren in de digitale toekomst, zal je moeten samenwerken met een QTSP. Maar wat is een gekwalificeerde vertrouwensdienstverlener, wat doet het, en waar moet je op letten bij het kiezen van een voor jouw organisatie? Dit artikel legt het uit.

Wat is een gekwalificeerde vertrouwensdienstverlener (QTSP)?

Een gekwalificeerde vertrouwensdienstverlener (QTSP) is een entiteit die bevoegd is om de meest veilige digitale vertrouwensdiensten te creëren, valideren en verifiëren. Deze omvatten:

• Elektronische handtekeningen
• Elektronische zegels
• Tijdstempels

In tegenstelling tot reguliere vertrouwensdienstverleners moeten gekwalificeerde aanbieders een conformiteitsbeoordeling ondergaan om hun status te behalen. Dit stelt hen in staat om het hoogste niveau van zekerheid en vertrouwen te bieden in digitale interacties. Dit is bijvoorbeeld waarom QTSP's gemachtigd zijn om Gekwalificeerde Elektronische Handtekeningen (QES) uit te geven, die dezelfde status hebben als handgeschreven handtekeningen volgens de EU-wetgeving.

QTSP's worden gecontroleerd door de eIDAS- en eIDAS 2-verordeningen om de veiligheid, integriteit en authenticiteit van elektronische transacties en communicatie te waarborgen. Dit wordt bereikt door middel van strenge identiteitsverificatieprocessen, naleving van hoge beveiligingsnormen, en regelmatige audits door toezichthoudende instanties.

Dit maakt een QTSP essentieel voor bedrijven, overheden en individuen die veilige en betrouwbare gekwalificeerde diensten nodig hebben.

Waarom heb je een QTSP nodig?

Met de komst van de Europese Digitale Identiteit zal het steeds belangrijker worden voor bedrijven om samen te werken met een QTSP. Hier zijn enkele redenen waarom het belangrijk is om een QTSP te vinden voor jouw organisatie:

• Verbeterde digitale veiligheid: QTSP's bieden geavanceerde versleuteling, veilige digitale handtekeningen en elektronische zegels, waardoor jouw digitale communicatie en transacties worden beschermd tegen identiteitsfraude, ongeautoriseerde toegang en manipulatie.
• Juridische naleving: QTSP's helpen ervoor te zorgen dat jouw bedrijf voldoet aan de strenge vereisten voor vertrouwensdiensten. Volledige naleving van eIDAS en eIDAS 2 vereist echter ook het gebruik van gekwalificeerde elektronische handtekeningcreatie-apparaten en het volgen van veilige procedures zoals vastgelegd in de regelgeving.
• Betrouwbare interacties: Je zakenpartners en klanten kunnen met vertrouwen met je omgaan, dankzij de sterke digitale identificatieprocessen die door een QTSP worden toegepast.
• Sterke gegevensbescherming: QTSP's bieden sterke maatregelen voor gegevensbescherming die jouw naleving van de GDPR ondersteunen en gemoedsrust bieden aan alle belanghebbenden.
• Pan-Europese eisen: QTSP-diensten voldoen aan pan-Europese vereisten, waardoor interoperabiliteit wordt gegarandeerd en je met vertrouwen en veiligheid zaken kunt doen in de hele EU.

Soorten diensten aangeboden door QTSP's

Hier zijn de belangrijkste diensten die een QTSP kan leveren:

Hoe kies je de juiste QTSP voor jouw bedrijf?

Controleer certificering en accreditatiestatus

Vanwege de strenge vereisten onder EU-regelgeving moeten QTSP's strikte normen naleven om geaccrediteerd te worden en vertrouwensdiensten te leveren. Dit omvat het indienen van een aanvraag bij hun nationale regelgevende autoriteit, zodat het bedrijf kan worden geverifieerd en beoordeeld. Na goedkeuring geeft de autoriteit een licentie uit en voegt de QTSP toe aan de EU/EER-lijst van vertrouwde lijsten.

Wanneer je op zoek bent naar een QTSP, controleer dan of deze op deze lijst staat en of de licentie up-to-date en actief is. Elk land heeft een conformiteitsbeoordelingsinstantie (CAB) die regelmatige audits uitvoert bij QTSP's, om ervoor te zorgen dat ze een effectieve en veilige dienst blijven leveren.

Beoordeel beveiligings- en versleutelingstechnologieën

Onderzoek de details van het aanbod van de QTSP. Beschikken ze over de nodige beveiliging en voldoen ze aan de normen die nodig zijn om een veilig proces voor jouw bedrijf te garanderen?

Bijvoorbeeld, om QWAC's, QES's en gekwalificeerde elektronische zegels uit te geven, moet de QTSP gebruik maken van een gekwalificeerd handtekeningcreatie-apparaat (QSCD). Vraag bij contact met een potentiële QTSP of zij deze kwalificatieprocessen hebben doorlopen.

Vraag ook naar de beveiligingscertificeringen en accreditaties. Dit helpt je te begrijpen hoe veilig de dienst is. Een voorbeeld is de ISO/IEC 27001-norm, die eisen stelt voor het opzetten, implementeren, onderhouden en voortdurend verbeteren van een informatieveiligheidsbeheersysteem. Het hebben van dit certificaat toont aan dat de QTSP voldoet aan hoge standaarden voor digitale veiligheid.

Overweeg geografische en juridische dekking

Bekijk de locaties waar je actief zult zijn en controleer of de QTSP voldoet aan de regelgevingseisen in die landen. eIDAS 2 is bedoeld om de interoperabiliteit van vertrouwensdiensten in de hele EU te verbeteren, wat betekent dat een geldige QES in Polen ook in Italië wordt geaccepteerd.

Niet alle QES's zijn echter hetzelfde. In 2021 dreigde een Zwitserse treinbouwer bijna een contract van €3 miljard mis te lopen om de Oostenrijkse spoorwegen te leveren, omdat een Zwitserse QES enigszins verschilt van de EU-versie en juridisch niet wordt erkend in de EU. Dit illustreert het belang van samenwerken met een QTSP die meerdere jurisdicties dekt en voldoet aan de diverse wetgevingen.

Beoordeel diensten en schaalbaarheid

Niet alle QTSP's bieden het volledige scala aan vertrouwensdiensten, wat betekent dat ze mogelijk niet aan al jouw eisen kunnen voldoen. Zorg ervoor dat jouw gekozen partner de diensten aanbiedt die je nodig hebt voor jouw bedrijf. Je kunt dit controleren met behulp van de EU Trust Service Browser of op de website van het bedrijf.

Houd ook rekening met wat er gebeurt als je bedrijf groeit en meer vertrouwensdiensten nodig heeft. Controleer of de QTSP jouw toekomstige plannen kan ondersteunen, anders moet je in de toekomst op zoek naar een nieuwe QTSP.

Analyseer integratiemogelijkheden

Veel QTSP's vereisen mogelijk dat je klanten doorverwijst naar een webportaal of een aparte app voor authenticatie voordat ze de transactie, identificatie of handtekening valideren. Misschien wil je in plaats daarvan de oplossing integreren in je huidige systeem voor een naadloos proces dat aansluit op je bestaande workflows. Controleer of jouw gekozen QTSP deze mogelijkheid biedt.

Ontdek ook of de oplossing integreert met de externe software die je al gebruikt om producten zoals Salesforce te stroomlijnen. Dit kan het handiger en efficiënter maken voor je werknemers.

Vergelijk prijzen en contractvoorwaarden 

De volgende stap is het vergelijken van de prijsstructuren van de verschillende gekwalificeerde vertrouwensdienstverleners (QTSP's) die u overweegt. Naast de kosten voor uw huidige behoeften, is het ook belangrijk om te achterhalen hoeveel meer het zal kosten als u uw bedrijf opschaalt en aanvullende diensten nodig heeft.

Controleer het contract dat door de QTSP wordt aangeboden om ervoor te zorgen dat het alles biedt wat u nodig heeft om optimaal gebruik te maken van de gekwalificeerde vertrouwensdiensten die uw bedrijf efficiënter kunnen laten functioneren. In het contract worden ook de toewijding van de QTSP aan cybersecurity, de maatregelen om aan de nalevingsvereisten te voldoen, en de voorwaarden voor beëindiging en opzegging uiteengezet.

Bekijk de klantenservice en ondersteuning

Zoals bij elk technologieproject is het essentieel om te weten of de QTSP waarmee u samenwerkt, toegewijd is om u te helpen het product op de meest gestroomlijnde manier te implementeren en te gebruiken. Dit betekent dat er ervaren, beschikbare klantenservicemedewerkers en een ondersteuningsportaal moeten zijn om u gemakkelijk antwoorden op veelgestelde vragen te bieden.

Het hebben van middelen die u helpen de oplossing in uw bedrijf te integreren, kan u gemoedsrust geven doordat u de downtime minimaliseert en mogelijke omzetverliezen beperkt.

FAQ

Hoe kunt u verifiëren dat een entiteit een gekwalificeerde vertrouwensdienstverlener is?

De vertrouwensdienstbrowser van de EU is een centrale databank van vertrouwensdienstverleners. Zoek de aanbieder op in de lijst en bekijk de vermelding. Als het een gekwalificeerde vertrouwensdienstverlener is, staat deze in deze lijst.

Hoe kunt u ervoor zorgen dat uw QTSP voldoet aan de huidige regelgeving?

QTSP's worden regelmatig geaudit om ervoor te zorgen dat ze blijven voldoen aan de laatste regelgeving, de vereiste diensten leveren en aan alle noodzakelijke normen voldoen. Als ze niet voldoen aan hun nalevingsverplichtingen, worden ze van de lijst van vertrouwensdienstbrowsers verwijderd of als inactief gemarkeerd.

Wat zijn de eerste stappen die een bedrijf moet nemen om QTSP-diensten te implementeren?

Een bedrijf moet beslissen welke diensten het aan klanten wil aanbieden. Vervolgens moet het zoeken naar een QTSP die aan die behoeften voldoet en de prijsstructuur, reputatie en werkwijze van de aanbieder overwegen om te bepalen of deze geschikt is. Veel diensten bieden bedrijven de mogelijkheid om zich aanvankelijk gratis aan te melden om een beter idee te krijgen van hoe goed de QTSP past.

Conclusie

Het gebruik van een QTSP is essentieel voor bedrijven die digitale authenticatie en verificatie willen aanbieden. Dit maakt het mogelijk om processen online uit te voeren in plaats van te vertrouwen op papieren documentatie, waardoor ze kosteneffectiever en milieuvriendelijker worden, ondersteund door sterke beveiligingsmaatregelen.

Werk samen met Entrust Signhost voor conforme elektronische handtekeningen en digitale identificatiediensten die naadloos integreren in uw bestaande workflow. Geniet van een handig, gestroomlijnd en veilig proces. Neem contact met ons op voor meer informatie.

Referenties en verdere lectuur

• Is een elektronische handtekening juridisch bindend?
• Hoe tekent u een PDF legaal?
• Elektronisch zegel of handtekening?
• Hoe maakt u een geldige elektronische handtekening?

Disclaimer: Deze inhoud vormt geen juridisch advies. De geschiktheid, afdwingbaarheid of toelaatbaarheid van elektronische documenten is waarschijnlijk afhankelijk van veel factoren, zoals het land of de staat waar u actief bent, het land of de staat waar het elektronische document zal worden verspreid, evenals het type elektronisch document. Raadpleeg een geschikte juridische adviseur om mogelijke juridische implicaties en vragen met betrekking tot het gebruik van elektronische documenten te analyseren.