Nieuwe generatie G4-certificaten vraagt om vernieuwde Digipoort. We schreven er eerder al dit blog over.
De digitale infrastructuur van Nederland rust op een aantal bouwstenen. Diginetwerk vormt de basis. Daarboven draaien voorzieningen als Digipoort, Digilevering, Digikoppeling en Digimelding. Vooral Digipoort speelt een cruciale rol: dit is de poort voor berichtenuitwisseling tussen bedrijfsleven en overheid. Juist daar vindt nu een belangrijke verandering plaats. Digipoort wordt vernieuwd én er komt tegelijkertijd een nieuwe generatie PKIoverheid-certificaten: G4.
Oude en nieuwe Digipoort
“De essentie is simpel,” zegt Ton Oosterwijk van PKIpartners. “De aanstaande G4-certificaten zijn straks alleen te gebruiken in de nieuwe Digipoort. In de huidige Digipoort werken de nieuwe G4-certificaten niet. Maar de nieuwe Digipoort is er nog niet volledig. Dat geeft spanning.”
Aanvankelijk was het plan om vele tientallen berichtenstromen in één keer over te zetten. Grote afnemers van Digipoort als de Belastingdienst en UWV zagen dat niet zitten. Daarom wordt de overgang nu gefaseerd uitgevoerd. Ondertussen tikt de tijd door en komt ook de beschikbaarheid G4-certificaten dichterbij.
Twee brandstoffen werkt niet
De situatie laat zich volgens Ton goed vergelijken met een auto die zowel op benzine als op waterstof zou moeten rijden. “Dat klinkt handig, maar in de praktijk werkt het niet. Je moet vooralsnog op één brandstof vertrouwen. Zo is het ook met de certificaten: huidige G1-certificaten werken in de nieuwe Digipoort en nieuwe G4-certificaten niet in de huidige Digipoort.
Communicatie en werkelijkheid
In de officiële berichtgeving klinkt het vaak alsof de komst van G4 vooral wordt ingegeven door nieuwe beveiligingskaders en strengere eisen. Ton ziet dat genuanceerder. “Veiligheid is zeker een ding. Zeker ook omdat post-kwantumcomputers aanstaande zijn en de huidige encryptie ontsleuteld kan worden, Tegelijkertijd is de realiteit ook eenvoudiger: certificaten hebben, net als een ID-bewijs, een looptijd en verlopen op een bepaald moment. Dat vraagt om vernieuwing. Maar omdat de oude Digipoort G4 niet ondersteunt, wordt de overstap nu gekoppeld aan de migratie naar de nieuwe omgeving.”
Waarom wil je dit weten?
Voor bedrijven, softwareleveranciers en instellingen die Digipoort gebruiken, is dit geen ver-van-mijn-bed-show. Het raakt direct aan de continuïteit van hun digitale processen. Het gaat over compliance, over het tijdig aanpassen van systemen, en over de zekerheid dat gegevensuitwisseling met de overheid betrouwbaar blijft. Wie nu vooruitkijkt, voorkomt dat er later onder hoge tijdsdruk moet worden geïmproviseerd.
PKIoverheid G4-certificaten op tijd: ongeacht Digipoort of Digilevering?
Tegelijkertijd volgen wij de ontwikkelingen op de voet en zorgen we ervoor dat onze klanten op de hoogte zijn en de juiste certificaten op het juiste moment werkend hebben.Ongeacht of dit voor SBR en Digipoort, of voor onze klanten van Lokale overheid is die PKIoverheid nodig hebben voor Digilevering etc.
Voorop in overzicht
Voor organisaties die hun weg zoeken in deze veranderingen is er weinig overzicht. “Nergens is een compleet overzicht te vinden. Daarom zijn wij er zelf mee begonnen,” vertelt Ton. PKIpartners biedt inmiddels een bijna dagelijks groeiend overzicht van PKIoverheid-toepassingen, zodat organisaties weten waar ze aan toe zijn.
Wie Digipoort gebruikt voor de gegevensuitwisseling met de overheid, kan er dus niet omheen: de komende jaren verandert er veel. Het is belangrijk om te begrijpen waar je staat en wanneer de overstap naar G4 voor jou relevant wordt.
“Wij zitten vooraan in het gesprek,” zegt Ton. “Het is echt een hobbel. Maar juist daarom is het belangrijk dat organisaties nu inzicht krijgen in wat er gaat gebeuren.”
Wij gaan veel aandacht geven aan het onderwerp. En zoals onze klanten ons kennen; gaan we ook oplossingen aanbieden met de passende service.
Wil je verder praten over dit belangrijke onderwerp? Neem contact met ons op. We helpen je graag met de nieuwe generatie G4-certificaten en de toegang tot Digipoort.
Stel je voor dat je opeens een compleet nieuw identiteitsbewijs moet gaan gebruiken en dat de oude niet meer geldig is. Wil je die dan vervangen hebben op de laatste dag? Nee. Veel eerder. Vanaf november dit jaar zullen er geen G1 certificaten voor 3 jaar meer worden uitgegeven en vanaf 2028 verdwijnen ze helemaal. Dat betekent dat we nu een overgangsfase ingaan waarbij sommigen nog de G1 certificaten gebruiken en sommigen al de nieuwe generatie PKIoverheid certificaten. Zijn wij, en misschien nog wel belangrijker; onze applicaties, daar wel op voorbereid?
Van de gebruiker via de uitgever naar Staat de Nederlanden – hiërarchie
Net als met een fysiek ID-bewijs/rijbewijs heeft ook elk digitaal ID bewijs een begrensde geldigheid met een ‘geldig van-’ en een ‘geldig tot-’ datum. In het geval van PKIoverheid certificaten kunnen deze certificaten een geldigheid hebben van 1, 2 of 3 jaar. De geldigheid is van toepassing op de zogenaamde eindgebruikers certificaten (dit is je werkelijke certificaat wat je bijvoorbeeld gebruikt voor je Digipoort koppeling, het ondertekenen van afschriften en akten of de koppeling met DigiD. ‘Boven’ jouw eindgebruikerscertificaat zijn de zogenaamde bovenliggende-/uitgevende certificaten en die zijn langer geldig. In het geval van de huidige PKIoverheid G1 en G3 certificaten is dit 15 jaar met als hard einde 14 november 2028.
Mens en machine certificaten onder PKIoverheid
Of een PKIoverheid eindgebruiker certificaat een geldigheid van 1, 2 of 3 jaar heeft, wordt bepaald door de geaccrediteerde producenten. Die zijn onder het normenkader van PKIoverheid vrij om te kiezen wat ze wel en niet aanbieden. Qua levensduur, maar ook qua soort certificaten en voor wie. Die vrijheid maakt het op dit moment al vaak onoverzichtelijk en zal nog onoverzichtelijker worden met de aanstaande grote verandering.
Grootste verandering sinds 2013; van G1 en G3 naar G4 en G3+ met onderverdelingen.
Die aanstaande veranderingen zijn niet enkel dat een nieuw (moderner) algoritme RSASSA-PSS(2) wordt gebruikt in de G4 en G3+ in plaats van de huidige RSASSA-PKCS1-v1_5, maar ook dat er meer soorten certificaten bij gaan komen voor specifieke toepassingen en met veel minder begrijpelijke namen.
Nu heet bijvoorbeeld intermediate certificaat voor de veelvoorkomende toepassing Digipoort, Digikoppeling etc : Staat der Nederlanden Private Services CA - G1 en in de nieuwe variant gaat het PKI certificaat voor dezelfde toepassing Staat der Nederlanden - G4 Intm Priv G-Other LP – 2024 heten. Of voor een andere toepassing, maar nu ook bestaande toepassing; Staat der Nederlanden - G4 Intm EUTL G-Sigs NP – 2024
Waarom niet bij het oude blijven?
Wij hebben die vraag natuurlijk ook gesteld aan Logius. Het heeft ook te maken met een logische en goede modernisering. Want net als met een ID bewijs of waardepapieren, moet ook bij certificaten de veiligheid en compatibiliteit van de algoritmes omhoog. Omdat ook regelgeving en de toepassing van regelgeving door de jaren heen is veranderd, wordt er nu rekening gehouden met bijvoorbeeld een onderscheid tussen natuurlijke- en rechtspersonen.
Daarnaast kwam in 2014, na de uitgifte in 2013, ook de eIDAS (910/2014) verordening voor elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt.In het verlengde daarvan moest ook PKIoverheid wel aanpassingen gaan doorvoeren, bijvoorbeeld voor de gekwalificeerde handtekening. Notarissen, advocaten, accountants, gerechtsdeurwaarders, maar ook DUO, KVK, Kadaster, Tendernet en vele andere organisaties maken gebruik van deze rechtsgeldige gekwalificeerde handtekeningen voor ondertekening van documenten. Ook daarin was een modernisering hard nodig.
2028 is niet ver weg – dan is het voorbij
2028 klinkt misschien ver, maar dat is niet zo. Vanaf 13 november dit jaar worden er geen G1 certificaten meer geleverd die drie jaar geldig zijn. Tegen die tijd zullen er, naar we mogen aannemen, dus al de nieuwe generatie pkioverheid certificaten, G4 en G3+, worden geleverd.
Maar gaan de vertrouwde G1 certificaten wel werken met een G4 aan de ontvangende kant?
Of vice versa?
Gaat een applicatie die nu G3 getekende documenten verwerkt wel werken met de G3+ of G4?
Of moeten er voor elke variant een aparte afhandeling plaatsvinden?
Wilt u goed voorbereid zijn, met ons G4 trial certificaat kunt u alvast gaan testen.
Vinger wijzen en schuldige zoeken heeft geen zin. Partner kiezen en aan de bak gaan wel
De deadlines zijn ‘hard en duidelijk’. Het voordeel van die ‘harde duidelijkheid’ is dat het kaders geeft en daar dus op gepland kan worden. Het is wel zaak om actie te ondernemen. Niet alleen als software- of applicatie leverancier zelf, maar met name ook om de transitie bij de klanten/gebruikers van de applicatie goed voor te bereiden. Zij zullen ook op termijn één of meerdere van de nieuwe generatie PKIoverheid certificaten moeten kopen en (laten) installeren.
Kies je certificaatpartner en wacht niet te lang
De kennis is beperkt en het aantal medewerkers bij de producenten is ook beperkt.
Ga op zoek naar een certificaatpartner die verstand van zaken heeft, bereikbaar is en mee wil denken in Mens, Organisatie, Omgeving en Techniek. Denk aan wat je klanten nodig hebben qua ondersteuning, instructies en communicatiekanalen.
Wij zijn er ook voor u – gespecialiseerd en altijd telefonisch bereikbaar
Dit klinkt misschien gek in tijden van apps, AI, mail en chatbots, maar bereikbaarheid en persoonlijk contact zijn onze kernwaardes. Een certificaat is niet goedkoop en daar mag u dan ook de beste service en dienstverlening voor verwachten. Dat begint bij dat je ons gewoon kunt bellen voor al je vragen op 085 – 90 20 820, of vul het contactformulier in en dan nemen wij binnen een uur of twee contact met jou op.
Kader: Opmerking vooraf. Dit bericht is een vooraankondiging over de nieuwe certificaten en is enkel van toepassing op de ontwikkelaars van software. In de toekomst zal ook jij (vanuit je rol als gebruiker) certificaten van het nieuwe type ontvangen, maar zover is het nog niet. Zoals je van ons mag verwachten zijn wij van begin af aan in nauw overleg met de betrokken partijen.
Om de veiligheid van digitale gegevensuitwisseling verder te verbeteren, introduceert Logius een nieuwe generatie PKIoverheid certificaten: G4 en G3+. Deze certificaten vervangen de huidige G3- en G1 Private-certificaten, die vanaf 2013 in gebruik zijn genomen en nog geldig zijn tot uiterlijk 13 november 2028. Organisaties worden opgeroepen om tijdig te starten met de voorbereiding op de overstap van G1 naar de G4, omdat deze nieuwe certificaten impact hebben op dienstverlening en IT-infrastructuur.
Wat is PKIoverheid?
PKIoverheid is een afsprakenstelsel dat wordt beheerd door Logius. Het biedt betrouwbare digitale certificaten die zorgen voor veilige gegevensuitwisseling tussen overheden, burgers en bedrijven. De certificaten waarborgen de vertrouwelijkheid, integriteit en authenticiteit van elektronische communicatie en transacties.
Door strengere regelgeving en de groeiende behoefte aan meer beveiliging introduceert PKIoverheid de G4-certificaten. Deze zijn ontworpen om te voldoen aan de nieuwste technologische standaarden. Tegelijkertijd is er een tussentijdse update aan de G3-certificaten toegevoegd, genaamd G3+, die specifiek bedoeld is voor het beveiligen van e-mails (S/MIME).
Wat zijn de belangrijkste veranderingen?
De G4-certificaten brengen een aantal verbeteringen en aanpassingen met zich mee:
Vier nieuwe root-certificaten (in plaats van twee), elk met een specifiek gebruiksdoel, zoals S/MIME, digitale handtekeningen of serverauthenticatie.
Strikte scheiding van gebruiksdoelen: elk certificaat soort mag slechts voor één doel worden gebruikt, zoals authenticatie of het plaatsen van een digitale handtekening.
Moderner cryptografisch algoritme: het nieuwe RSASSA-PSS-algoritme vervangt het verouderde RSASSA-PKCS1-v1_5. Dit algoritme is veiliger en voldoet aan internationale normen.
Nieuwe naamgeving: certificaten en hun hiërarchie sluiten beter aan op internationale standaarden, waardoor het eenvoudiger wordt om certificaten en hun toepassing te herkennen.
De G3+ certificaten zijn een specifieke uitbreiding van de G3-certificaten om te voldoen aan vernieuwde regelgeving voor e-mailbeveiliging (S/MIME).
Wat betekent dit voor jouw organisatie?
De introductie van de G4-certificaten kan verschillende gevolgen hebben voor organisaties:
Meer certificaten nodig: Omdat elk certificaat slechts voor één doel kan worden gebruikt, kan het aantal benodigde certificaten toenemen.
Compatibiliteit controleren: Organisaties moeten ervoor zorgen dat hun systemen het nieuwe cryptografische algoritme RSASSA-PSS ondersteunen.
Nieuwe root-certificaten importeren: De vier nieuwe root-certificaten moeten worden toegevoegd aan de truststores van systemen.
“Wacht niet tot het laatste moment – je digitale communicatie staat of valt met de tijdige overstap naar G4-certificaten.”
Stappenplan voor een succesvolle overstap
Het tijdig voorbereiden van je organisatie is essentieel. Volg deze stappen om de overstap naar G4 soepel te laten verlopen:
Inventariseer gebruik: analyseer waarvoor de huidige G3-certificaten worden ingezet.
Bepaal de behoeften: raadpleeg de vertaaltabel “Welk type certificaat heb ik nodig?” op de website van Logius óf neem contact op met PKIpartners.
Controleer compatibiliteit: zorg dat je systemen het nieuwe algoritme ondersteunen en update deze indien nodig.
Importeer nieuwe root-certificaten: voeg de G4-rootcertificaten toe aan de relevante systemen.
Test grondig: test alle processen met de nieuwe certificaten voordat u deze op grote schaal implementeert.
Actie vereist: start vandaag!
Hoewel 2028 nog enkele jaren weg is, kost de overstap naar G4-certificaten tijd en planning. Organisaties die vroeg beginnen, hebben meer ruimte om systemen aan te passen en problemen te voorkomen.
Ton Oosterwijk, algemeen directeur PKIpartners (links) en Alex van Unnik, partner manager PKIpartners (rechts)
De overgang naar PKIoverheid G4 is geen onderwerp dat alleen overheden of fiscaal intermediairs raakt. Elke softwareleverancier of applicatie-ontwikkelaar die verwantwoordelijk is voor PKIoverheid-certificaten voor koppelingen, aangiftes of berichtenverkeer krijgen ermee te maken. De vraag is niet óf, maar wanneer.
Alex van Unnik, partnermanager bij PKIpartners, ziet in de praktijk dat de urgentie nog niet overal wordt gevoeld. “Het onderwerp leeft wel,” zegt hij, “maar vaak nog op de achtergrond. Zolang systemen draaien en klanten niets merken, lijkt het geen prioriteit. Toch is dit precies het moment om wél te kijken wat er verandert.”
Wat verandert er concreet?
De huidige generatie certificaten, zoals G1 en G3, gaat uitfaseren. De nieuwe generatie G4 brengt technische en organisatorische aanpassingen met zich mee. Daarnaast veranderen de geldigheidsduren van certificaten en worden ketens steeds afhankelijker van goed ingericht certificaatbeheer.
Voor softwareleveranciers betekent dit dat hun applicaties, koppelingen en ondertekenfunctionaliteiten geschikt moeten zijn voor de nieuwe generatie certificaten. Dat is geen administratieve wijziging, maar een technische realiteit. Het is geen een-op-eenvernieuwing van de G1 of G3 naar G4 en omdat het PKIoverheid heet hetzelfde. Verre van.
Er is sprake van een geheel ander algoritme, andere sleutellengtes en nieuwe G4 certificaathiërarchieën die hybride moeten werken met de bestaande certificaathiërarchieën G1 en/of G3.
“Een certificaat is geen los product,” legt Alex uit. “Het zit ingebakken in software, in koppelingen, in authenticatieprocessen. Als daar iets in verandert, moet je weten wat dat betekent voor je hele keten.”
Ton vult aan: ‘En dat zie je ook terug in de communicatie vanuit de overheid en Logius als het gaat over de PKIoverheid-transitie naar G4. Er is nauwelijks berichtgeving. Terwijl het over potentieel maatschappelijke ontwrichting gaat als deze overgang niet goed wordt gedaan.
De valkuil van ‘het zal wel loslopen’
In veel organisaties ontbreekt één duidelijk aanspreekpunt voor certificaten. Het valt onder security, of onder development, of onder operations. Soms een beetje van alles. Daardoor ontstaat het risico dat niemand zich echt eigenaar voelt.
“Certificaten zijn vaak van iedereen en dus van niemand,” zegt Alex. “Totdat er iets misgaat. Dan blijkt hoe cruciaal ze zijn.”
Dat klinkt stevig, maar het is geen doemscenario. Het is een constatering. In het verleden zijn er genoeg voorbeelden geweest van organisaties waar certificaten verlopen waren, met directe impact op systemen of dienstverlening. Niet omdat mensen nalatig waren, maar omdat het onderwerp onvoldoende prioriteit kreeg.
De overgang naar G4 vraagt daarom niet om paniek, maar om bewustwording, voorbereiding, communicatie en actie.
Testen vóór het moet
Een belangrijk onderdeel van die voorbereiding is testen. PKIpartners biedt daarom PKIoverheid G4-testcertificaten aan voor softwareleveranciers. Daarmee kunnen ontwikkelteams in een gecontroleerde omgeving ervaren wat de nieuwe generatie certificaten betekent voor hun software. Als eindgebruiker kun je zelf niets met deze certificaten, want ze zijn bedoeld om systemen te testen op de communicatie en werking met de G4 in combinatie met de G1 en G3. Want die laatste zijn tot 15 november 2028 in gebruik. Op de 16e november doen ze het gewoon niet meer. End of life zoals dat in IT-termen heet.
“Wij willen dat onze partners zélf zien wat er verandert,” zegt Alex. “Niet op basis van een document of een nieuwsbrief, maar in hun eigen testomgeving. Dat maakt het concreet.”
Door tijdig te testen:
wordt inzichtelijk welke aanpassingen nodig zijn
kunnen ketentesten worden uitgevoerd
voorkom je last-minute aanpassingen
ontstaat rust richting eindklanten en vertrouwende partijen
Voor veel leveranciers is dit een laagdrempelige manier om het onderwerp op de agenda te zetten zonder dat er direct commerciële of contractuele consequenties aan vastzitten.
De rol van PKIpartners
Alex positioneert PKIpartners nadrukkelijk niet als een partij die “even certificaten levert”. De rol wordt veel breder ingevuld.
“Wij helpen softwareleveranciers bij het begrijpen van de impact,” zegt hij. “Wat betekent deze transitie voor jouw product? Voor jouw klanten? Voor jouw supportorganisatie?”
Dat kan gaan over:
het inrichten van certificaatbeheer
het ondersteunen bij ketentesten
het begeleiden van migraties
het meedenken over communicatie richting eindklanten
Het doel is niet om angst te creëren, maar om leveranciers in staat te stellen hun eigen dienstverlening stabiel te houden. En natuurlijk het ontlasten van de helpdesk. Laat ons de klanten van softwareleveranciers helpen en voorzien van nieuwe of vervangende PKIoverheid G4 productiecertificaten zodra ze er zijn.
Geen hype, wel realiteit en onderdeel van soevereiniteit
Wat Alex vooral wil meegeven, is dat dit geen eenmalige wijziging is. De wereld van digitale certificaten beweegt voortdurend. Denk aan kortere geldigheidsduren, strengere beveiligingseisen en toekomstige ontwikkelingen zoals post-quantum cryptografie.
“Dit is geen incident,” zegt hij. “Het is onderdeel van een bredere professionalisering van digitale infrastructuur. Als softwareleverancier kun je dat beter omarmen dan negeren.”
De kernboodschap is helder: wacht niet tot een certificaat verloopt of een klant belt met een storing. Gebruik de komende periode om inzicht te krijgen, te testen en keuzes te maken.
Wie nu investeert in overzicht en voorbereiding, voorkomt dat technische wijzigingen later operationele problemen worden.
En daar ziet Alex de rol van PKIpartners: als sparringpartner voor softwareleveranciers die hun keten stabiel, veilig en toekomstbestendig willen houden.
Voorkom dat certificaatvragen op jouw supportdesk blijven hangen. Plan een gesprek met Alex en ontdek hoe wij jouw organisatie én klanten volledig ontzorgen. Je bereikt hem via (06) 43 16 56 33 of mail hem rechtstreeks via alex@pkipartners.nl.
In het verlengde van alle kennis die we eerder deelden vertellen we ook graag over de update over de transitie van de huidige PKIoverheid G1 en G3 certificaten naar de nieuwe generatie G4 zoals aangekondigd door Logius.
Nog even in een paar zinnen. De huidige certificaten zijn op 12 november 2028 ‘end of live’ zoals het heet. En dus zorgt Logius PKIoverheid voor een nieuwe generatie certificaten, met verbeterde veiligheid en in lijn met het geldende normenkader, die uitgegeven kunnen worden tot in 2039: generatie G4.
Maar voordat deze nieuwe certificaten kunnen worden geproduceerd en worden uitgegeven, zullen er eerst veel stappen moeten worden gezet. Vergelijk het met het bouwen van een woonwijk. Voordat de huizen te gebruiken zijn, moet er eerst veel voorwerk worden gedaan.
Minder dan drie jaar geldig
‘End of life’ op 12 november 2028, betekent dat na 12 november 2025 PKIoverheid certificaten niet meer drie jaar geldig kunnen zijn. Het wordt elke dag een dag minder. Dat is overigens geen (technisch) bezwaar. De werking is eender. Wij leveren immers ook 2-jarige certificaten.
Je kunt ervan op aan dat wij alle ontwikkelingen goed volgen, met de voornaamste partijen in gesprek zijn en met onze kennis van de markt bijdragen aan oplossingsrichtingen. We houden je op de hoogte.
Overzicht PKIoverheid – waar zit het allemaal
In het verlengde daarvan zijn we op verzoek van belanghebbenden begonnen met een overzichtspagina ‘Toepassingen PKIoverheid’ om een beeld te krijgen van waar PKIoverheid certificaten verplicht zijn. Sinds de ingebruikname van PKIoverheid door de Belastingdienst in 2012 na DigiNotar en Business Application Programming Interface (BAPI), de komst van het specifieke Digipoort certificaat en de opkomst van de generieke Diginetwerk, is PKIoverheid dé standaard voor gegevensuitwisseling.
Het overzicht Toepassingen PKIoverheid groeit elke week. Heb je een bijdrage, stuur je suggestie(s) dan in om kennis te delen en bij te dragen. Dit kan je eenvoudig op de pagina zelf doen. Daar staat een formulier waar je je suggesties kunt opgeven, ook anoniem.
