Stel je een wereld voor waarin je telefoon niet alleen je koffie betaalt, maar ook met absolute zekerheid bevestigt wie je bent. Met slechts een paar tikken op je scherm krijg je toegang tot je digitale wallet, waarin alles is opgeslagen – van je creditcards tot je rijbewijs.
Met het nieuwe eIDAS 2.0-framework wordt dit binnenkort werkelijkheid. eIDAS 2.0 is een set standaarden die het gebruik van elektronische identificatie en vertrouwensdiensten binnen de Europese Unie wil bevorderen. Binnen dit framework bestaan veel verschillende rollen, entiteiten en definities die uitleg kunnen vergen om het geheel goed te begrijpen.
In dit artikel bespreken we:
- Gebruikers
- Authentieke bronnen
- Wallets
- Walletproviders
- Attributen & data
- Vertrouwende partijen
- Vertrouwen
- TSP’s (Trust Service Providers)
- QTSP’s (Qualified Trust Service Providers)
- QEAAs (Qualified Electronic Attestation of Attributes)
- Selectieve onthulling
Tot slot bespreken we de rol van Nederland. Bekijk de onderstaande afbeelding voor een overzicht van hoe deze verschillende rollen met elkaar samenwerken.
Gebruikers
Een gebruiker is elke natuurlijke of rechtspersoon die een digitale wallet of een vergelijkbare dienst gebruikt. Hoewel het gebruik van een wallet niet verplicht wordt gesteld, verwacht de EU dat binnen enkele jaren 80 procent van de burgers digitale identiteitswallets zal gebruiken voor overheidsdiensten.
Gebruikers worden soms ook eindgebruikers genoemd, omdat wij de personen zijn die uiteindelijk het product gebruiken.
Authentieke bronnen
Een authentieke bron is de organisatie die ‘de waarheid’ over iemand of iets bezit, zoals een overheidsdatabase, bijvoorbeeld de Kamer van Koophandel. Authentieke bronnen kunnen publieke of private organisaties of systemen zijn—kort gezegd, elke organisatie die informatie (attributen) over jou beheert. Dit kunnen gegevens zijn zoals je adres of leeftijd, maar ook zaken als diploma’s, vergunningen of hypotheekdocumenten.
Wallets
Wanneer we spreken over de European Digital Identity (EUDI) wallet-oplossing, hebben we het over het volledige pakket aan diensten dat wordt aangeboden door een EUDI-walletprovider. Wanneer we het hebben over een EUDI-walletinstantie, bedoelen we de versie van een digitale wallet die toebehoort aan en wordt beheerd door een EU-burger. Dit is in feite een wallet vergelijkbaar met de Apple Wallet die je mogelijk al op je telefoon hebt, maar dan uitgebreider. Het bevat niet alleen je bankkaarten, maar ook attributen die je identiteit kunnen bewijzen.
De software in de wallet wordt de Wallet Secure Cryptographic Application (WSCA) genoemd en zorgt ervoor dat je gevoelige informatie veilig blijft. Daarnaast kan ook de Wallet Secure Cryptographic Device (WSCD) worden gebruikt: dit is een beveiligd hardwareapparaat waarin je persoonlijke gegevens worden opgeslagen. Het werkt vergelijkbaar met een random reader van een bank of de chip in je bankpas.
Wallet providers
De EUDI-walletprovider is de organisatie die een digitale wallet-service aanbiedt die aan bepaalde standaarden voldoet. We weten dat de Nederlandse overheid, specifiek het Ministerie van Binnenlandse Zaken, EUDI-wallets zal verstrekken aan haar burgers. Echter, er is ook ruimte voor bedrijven om hun eigen wallet aan te bieden. Hierdoor zou je mogelijk meerdere wallets kunnen hebben of zelf kunnen kiezen welke je wilt gebruiken.
Attributen
Attributen zijn kenmerken die een persoon of object beschrijven, zoals naam of leeftijd, maar dan in elektronische vorm.
Persoonsidentificatiegegevens (PID)
Persoonsidentificatiegegevens (PID) zijn informatie die bewijst wie iemand is, zoals een naam of identiteitsnummer. Met PID kun je je identiteit aantonen. Met andere attributen kun je bewijzen dat je bijvoorbeeld een rijbewijs hebt of een diploma van een specifieke universiteit.
Persoonsidentificatiegegevens (PID)-provider
De organisatie die de gegevens over inwoners van een land ‘bezit’, wordt de Persoonsidentificatiegegevens (PID)-provider genoemd. Vaak is dit het ministerie van Binnenlandse Zaken, dat informatie verstrekt om digitaal te bewijzen dat je bent wie je zegt dat je bent.
De PID-provider is verantwoordelijk voor het verifiëren van de identiteit van de EUDI-walletgebruiker, het uitgeven van de PID aan de EUDI-wallet en het beschikbaar stellen van informatie voor relying parties.
Relying parties
Een relying party is een organisatie die kan communiceren met EUDI-wallets en niet-gekwalificeerde digitale diensten aan gebruikers kan aanbieden. Dit kan een online winkel zijn, maar ook een bank, een gemeente of een politiedienst.
Vertrouwen
In eIDAS 2.0 kom je vaak het woord ‘vertrouwen‘ tegen, maar wat betekent dit in de context van een digitale identiteitswallet?
Vertrouwen betekent dat je erop kunt rekenen dat iemand of iets doet wat het hoort te doen. Een trust framework is een set regels en afspraken waar iedereen zich aan houdt bij het gebruik van een systeem. Een trust model is een verzameling regels die ervoor zorgt dat alles in een digitaal systeem legitiem en veilig te gebruiken is.
Trust Service Providers (TSP)
Een trust service is een digitale dienst die helpt om zaken veilig te houden, zoals elektronische handtekeningen of zegels. Deze diensten worden mogelijk gemaakt door Trust Service Providers (TSP): organisaties of bedrijven die digitale diensten aanbieden om ervoor te zorgen dat alles veilig en betrouwbaar is.
Qualified Trust Service Providers (QTSP)
QTSP’s zijn organisaties die een audit hebben ondergaan en op de officiële lijst van de EU staan om diensten te leveren op het gebied van digitale beveiliging. Ze kunnen bijvoorbeeld digitale rijbewijzen uitgeven of documenten digitaal ondertekenen.
Trusted lists
Tot slot spreken we ook over trusted lists: lijsten van groepen of organisaties die in een bepaalde context als betrouwbaar worden beschouwd.
QEAA
Qualified Electronic Attestations of Attributes (QEAA) zijn digitale documenten die bepaalde details over een persoon of object bevestigen. Een authentieke bron is een QEAA-provider die deze digitale documenten kan uitgeven.
Er bestaan ook Non-Qualified Electronic Attestations of Attributes (EAA) providers: niet-gekwalificeerde EAA’s kunnen door elke trust service provider worden uitgegeven. Ze vallen echter wel onder toezicht van eIDAS en de nationale wettelijke of contractuele kaders.
Selective Disclosure
De digitale identiteitswallet maakt gebruik van selective disclosure. Dit betekent dat je slechts een deel van je informatie deelt, in plaats van alles. Bijvoorbeeld: als je alcohol wilt kopen, kun je aan de verkoper aantonen dat je ouder bent dan de wettelijke minimumleeftijd, zonder je volledige geboortedatum te hoeven delen.
eIDAS 2.0 en de rol van Nederland
Hoewel Nederland al grote stappen heeft gezet met de introductie van DigiD, zal de digitale identiteitswallet de manier waarop we over digitale identiteit denken volledig veranderen.
Alle overheidsinstanties zullen een rol moeten spelen in eIDAS 2.0. Niet alleen moeten alle overheidsdiensten de wallet kunnen accepteren, maar de overheid moet ook zelf een wallet uitgeven, een identiteit aan de wallet koppelen en de authenticiteit van de verstrekte gegevens garanderen.
Wil je meer weten over de tijdlijn, voorbereidingen en de rol van Ubiqu? Lees dan ons introductieartikel over eIDAS 2.0 hier.
