Een KvK-uittreksel lijkt iets simpels, dat er gewoon is. De weergave van een bedrijfsnaam, een rechtsvorm, een vestigingsadres, een postadres, een bestuurder, de gemandateerden en doorverwijzingen naar bovenliggende rechtspersonen. In een paar seconden staat het document op je scherm en als je wilt, kun je het afschrift bestellen als rechtsgeldig, onweerlegbaar en gekwalificeerd ondertekend document.
Maar achter dat ene uittreksel zit een veel groter verhaal. Want wat je ziet, komt niet uit één systeem, je ziet een stelsel van weergaven. Het Handelsregister raakt en bevraagt meerdere basisregistraties. Denk aan adresgegevens, persoonsgegevens en gegevens over concernrelaties. Samen vormen die registraties de digitale juridische werkelijkheid van Nederland. Iedereen, nationaal en internationaal, mag blind vertrouwen op het ondertekende en gecertificeerde uittreksel. En de KvK is daarvoor als basisregistratie verantwoordelijk en aansprakelijk.
Nederland kent tien van deze basisregistraties die samen één stelsel vormen. Overheden gebruiken deze gegevens bij de uitvoering van publieke taken. Burgers en bedrijven hoeven gegevens daardoor niet steeds opnieuw aan te leveren. Dat is efficiënt, betrouwbaar en maatschappelijk waardevol.
Maar al die onderlinge uitwisseling maakt het stelsel ook kwetsbaar.
Eén KvK-uittreksel, meerdere basisregistraties
Wie een KvK-uittreksel opvraagt, ziet meer dan alleen informatie uit het Handelsregister. Een adres moet kloppen. Een persoon moet herleidbaar zijn. Een organisatie moet juridisch bestaan. Achter de schermen vindt gegevensuitwisseling plaats tussen registraties, voorzieningen en partijen die elkaar moeten kunnen vertrouwen.
Dat vertrouwen ontstaat niet vanzelf – de poortwachter
De systemen van de basisregistraties moeten onderling zeker weten met wie zij communiceren en of een ‘vragend systeem’ of applicatie die informatie ook mag opvragen. Ze moeten weten of de andere partij bevoegd is. En ze moeten kunnen vaststellen of gegevens veilig en betrouwbaar worden uitgewisseld. Daarvoor worden PKIoverheid certificaten gebruikt.
Wie ben jij en wat mag jij? De machtiging
Een certificaat zegt in deze context niet alleen: dit is wie ik ben. Het speelt ook een rol in de vraag: wat mag ik? Via identificatie, authenticatie en autorisatie bepaalt het stelsel of een partij toegang krijgt tot een bepaalde koppeling of voorziening.
Of, eenvoudiger gezegd: er staat iemand aan de digitale poort die precies weet of je naar binnen mag en wat je mag doen.
Van gemeente tot notaris
Neem de Basisregistratie Personen (BRP). Die wordt onder meer gevoed vanuit gemeenten. Wordt iemand geboren, verhuist iemand, overlijdt iemand of verandert er iets in officiële persoonsgegevens, dan moet dat betrouwbaar worden verwerkt. Nederland telt 342 gemeenten. Al die gemeenten maken onderdeel uit van een bredere keten van systemen, softwareleveranciers en voorzieningen.
Ook bij de Kamer van Koophandel zie je die afhankelijkheid terug. Een eenmanszaak inschrijven? Dan komt DigiD in beeld. Een bv oprichten? Dan gaat de notaris aan de slag. Die notaris levert stukken aan die juridisch moeten kloppen en digitaal betrouwbaar moeten worden aangeboden (wederom PKIoverheid). Gaat het om vastgoed, verkaveling of faillissementen, dan komen ook andere partijen en registraties in beeld als Openbaar Ministerie, Kadaster of gerechtsdeurwaarders (en wederom PKIoverheid).
Steeds opnieuw geldt: de gegevens moeten betrouwbaar zijn, de afzender moet kloppen en de verbinding moet veilig zijn.
PKIoverheid is daarmee geen technische bijzaak. Het is een onderdeel van de digitale infrastructuur waarop wettelijke taken, publieke dienstverlening en economische processen draaien. Het is kritieke infrastructuur.
De G4-transitie raakt meer dan certificaten (G1, G3 en end-of-life)
Daarom is de overgang naar de nieuwe generatie PKIoverheid certificaten meer dan een vervanging van certificaten. Logius introduceert PKIoverheid G4-certificaten om de beveiliging voor gegevensuitwisseling aan te scherpen. De huidige G1- en G3-certificaten zijn vanaf 12 november 2028 niet te gebruiken. Daarbij raakt de transitie niet alleen voorzieningen zoals DigiD, Digipoort, Digilevering en Digikoppeling, maar ook alle organisaties, leveranciers en ketenpartners die daarvan afhankelijk zijn. Dat maakt de transitie ketenbreed en ketenoverstijgend.
Want als één schakel niet op tijd klaar is, raakt dat niet alleen die ene organisatie. Gegevensuitwisseling is verbonden. Basisregistraties, uitvoeringsorganisaties, softwareleveranciers, notarissen, gemeenten en landelijke voorzieningen zijn van elkaar afhankelijk.
Alles is verbonden. En daarin zit de kracht én de kwetsbaarheid van digitaal Nederland.
Wat gebeurt er als we niets doen?
De vraag is dus niet alleen: hebben we straks het juiste certificaat? De betere vraag is: weten we welke processen, koppelingen, leveranciers en wettelijke taken in de keten afhankelijk zijn van PKIoverheid certificaten?
Want als die afhankelijkheden niet in beeld zijn, wordt de G4-transitie een technische operatie zonder ketenoverzicht. Dan wordt pas laat zichtbaar welke koppelingen kritisch zijn. Welke certificaten waar worden gebruikt. Welke systemen nog niet klaar zijn. En welke publieke processen daardoor risico lopen. Dat is geen aantrekkelijk scenario.
Valt morgen alles stil? Nee, waarschijnlijk niet. Maar hoe langer organisaties wachten, hoe minder ruimte er overblijft om afhankelijkheden zorgvuldig in kaart te brengen, leveranciers aan te haken, testtrajecten te plannen en ketenpartners mee te nemen.
“Een KvK-uittreksel laat in het klein zien hoe afhankelijk digitaal Nederland is van betrouwbare gegevensuitwisseling. Achter één document schuilt een keten van basisregistraties, voorzieningen, certificaten en partijen die elkaar digitaal moeten kunnen vertrouwen.”
Begin bij de keten – hoe ziet jouw keten eruit?
De eerste stap is daarom een organisatorisch overzicht.
Daar horen deze vragen bij:
Welke PKIoverheid certificaten gebruikt je organisatie? Waarvoor worden ze gebruikt? Welke koppelingen hangen eraan? Welke leveranciers zijn betrokken? Welke processen zijn kritisch voor je wettelijke taak of dienstverlening? En welke afhankelijkheden liggen buiten de eigen organisatie?
Pas daarna wordt duidelijk wat de G4-transitie organisatorisch concreet betekent. Daarna moet je gaan kijken of je servers en applicaties de nieuwe G4 technisch kunnen verwerken. Het is geen enter, enter en je bent er. Ze zijn wezenlijk anders.
En wij weten dat veel systemen en toepassingen de G4 niet zomaar aankunnen!
Voor PKIpartners is dat de kern van de boodschap: behandel PKIoverheid niet als een los certificatenvraagstuk, maar als onderdeel van de digitale continuïteit van Nederland. In Nederland voelen we ons vaak comfortabel bij de gedachte dat er ergens een ‘eindbaas’ is die ons beschermt en instrueert.
Geen overkoepelende ‘eindbaas’
Wij kunnen, durven en mogen zeggen dat die ‘eindbaas’ er niet is. Niemand is eindverantwoordelijk voor het geheel. Ook niet één van de ministeries.
Want een KvK-uittreksel mag er eenvoudig uitzien. De infrastructuur erachter is dat niet.
Wil je weten welke afhankelijkheden je organisatie heeft binnen de G4-transitie? PKIpartners helpt om certificaten, koppelingen, leveranciers en kritische processen in kaart te brengen. Kijk op onze speciale webpagina voor de eerste stappen. Wil je als software-/applicatieleverancier je help- en servicedesk volledig ontzorgen? Neem dan contact op met Alex, onze partnermanager.
Tip: maar bovenal: ga vragen stellen en wacht niet af!