PKI certificaten, Blog
Langzaam maar zeker komt de transitie van PKIoverheid G1/G3 naar G4 op stoom. De TSP’s KPN, Digidentity, DigiCert hebben hun zogenaamde issuing certificates G4 in ontvangst genomen en zullen hun productie nu moeten aanpassen om die nieuwe G4-varianten uit te kunnen geven. De één is verder dan de ander, maar mijn verwachting is dat ze in het tweede of derder kwartaal 2026 langzaam gereed zullen zijn.
De ketens moeten nu (nog) volgen
Maar de verwerkende (of ontvangende) partijen, zoals Digipoort, Digilevering, Digimelding en alle achterliggende ontvangers zoals Belastingdienst, UWV, SBR Wonen, KvK en De Nederlandsche Bank (DNB) moeten ook nog de ketens gereed voor de G4 en op orde krijgen. Dus ook de softwareleveranciers als Nextens, Visma, DPS, AFAS etc. Maar los van de kanalen via DigiPoort en bijvoorbeeld Rechtspraak Justitie, Kadaster, Kansspelautoriteit, RvIG, DigiD, eHerkenning en alle andere letterlijk honderden overheidsdienstverleningen, moeten er nog mee aan de slag.
Samen voorbereiden via PI-Planning
PKIpartners was 10 december uitgenodigd door Digipoort en de Belastingdienst bij de zogenaamde PI planning van Logius om mee te denken en mee te praten over de teststrategieën en alle belasting- en heffingenstromen en het gekwalificeerd ondertekenen van jaarrekeningen. De G4 komt eraan; de G1 en G3 zijn nu enkel nog twee jaar geldig en er moet veel gebeuren, want de G4 kan nog niet gebruikt worden. Wij zijn voorbereid en zorgen ervoor dat onze klanten op het juiste moment de juiste certificaten ontvangen.
Blijf op de hoogte van de laatste ontwikkelingen
We houden de voortgang van de G4-transitie nauwgezet bij op onze website. Op deze pagina vind je belangrijke data over de stelselbrede vernieuwing.
PKI certificaten, Blog
We zijn gestart om, naast deze nieuwsbrief PKIupdates, vanuit PKIpartners op LinkedIn een reeks scherpe, duidende updates over alles wat speelt in de wereld van de transitie naar de nieuwe PKIoverheid certificaten, kortlevende PKI, eHerkenning en post-quantum cryptografie. Geen ruis, geen marketingpraat, maar inzichten die je helpen vooruit te kijken: van internationale ontwikkelingen tot concrete impact op Nederlandse organisaties en onze Logius voorzieningen als Digipoort, Digilevering, Digimelding etc.
Volg onze campagne en blijf op de hoogte van:
- De transitie naar de nieuwe PKIoverheid G4
- Nieuwe inzichten uit het PKI Consortium
- Duiding van wet- en regelgeving
- Ontwikkelingen rond eIDAS 2.0
- Praktische tips voor ketenveiligheid en certificaatbeheer
- Strategische keuzes voor een quantumveilige toekomst
Wil je actueel en wekelijks op de hoogte blijven naast de reguliere nieuwsbrief?
PKI certificaten
Alle 72 sprekers
Toen het PKI Consortium eind oktober zijn internationale Post-Quantum Cryptography Conference organiseerde in Kuala Lumpur, was direct duidelijk: dit is geen gewone techbijeenkomst. Ruim 650 experts uit de hele wereld kwamen drie dagen lang samen om te werken aan één vraag: hoe houden we onze digitale vertrouwensketens veilig in een post-quantumtijdperk? En dat zonder commerciële agenda: de toegang was gratis, de sprekers onbezoldigd, en niemand mocht producten promoten.
Ton Oosterwijk (algemeen directeur) was namens PKIpartners aanwezig. Onder meer voor de praktische vertaling naar de Nederlandse dagelijkse werkelijkheid.
Want hoewel de ontwikkeling van quantumveilige cryptografie technisch gezien goed op koers ligt, is de implementatie dat niet automatisch. En dát is precies waar organisaties, overheden en ketenpartners nu moeten gaan sturen.
De essentie: de techniek komt wel, de volwassenheid niet vanzelf
Wat Ton vooral meeneemt uit Kuala Lumpur is de brede scope van het congres. “Post-quantum gaat eigenlijk niet meer over de nieuwe algoritmes. Het gaat over PKI in de volle breedte: volwassenheidsniveaus, ketencommunicatie, interoperabiliteit en bestuurbaarheid.
Het PKI Consortium liet zien hoe groot het contrast is tussen de technische vooruitgang en de organisatorische realiteit. Sommige organisaties kunnen vandaag al overstappen op quantumveilige standaarden, terwijl hele regio’s nog nauwelijks aan de startlijn staan.”
“Met algoritmes en de nieuwe certificaten komt het wel goed. Het gaat alleen niet vanzelf werken. Verre van!”
Ton Oosterwijk, algemeen directeur PKIpartners
Waarom experts van over de wereld hiervoor bij elkaar komen
Het congres trok 650 specialisten van onder andere IBM, Cisco, Digicert, Thales, Philips, onderzoekers van TU Delft en TNO, overheden uit meerdere landen, ons eigen Logius PKIoverheid, Binnenlandse zaken, cryptografen en architecten die wereldwijd aan dezelfde vraag werken: hoe beschermen we straks certificaten, identiteiten en hele ketens tegen quantumdreiging? Wat moet er gebeuren om de keten te kunnen laten werken met de nieuwe certificaten en kan de huidige apparatuur het eigenlijk wel aan? Wat gaat het betekenen voor de mondiale keten. Zeker als je bedenkt dat de huidige standaard RSA sinds 1977(!) in gebruik is.
De kracht van dit congres zit in de openheid: kennis wordt vrij gedeeld, discussies gaan over risico’s én oplossingen, en niemand houdt iets achter. Deelname aan de congressen van PKI consortium is kosteloos en alle 72 sprekers delen voor eigen rekening aanwezig om te leren en kennis te delen
Dat verklaart waarom experts bereid zijn om soms dertig uur te reizen om erbij te zijn. Dit gaat niet over geld, dit gaat over de digitale ruggengraat van onze samenleving.
Wat betekent dit voor Nederland?
Ton: “Voor organisaties in Nederland is de belangrijkste les simpel: quantumweerbaarheid vraagt om voorbereiding, volwassenheid en samenwerking. Niet morgen, maar nu. Niet omdat de bedreiging vandaag al zichtbaar is, maar omdat migraties naar nieuwe cryptografische standaarden jarenlang duren. En omdat ketens pas veilig zijn als alle schakels meedoen.”
Daar ligt een rol voor PKIpartners weggelegd:
- Het duiden van internationale ontwikkelingen
- Het vertalen naar de Nederlandse context
- Het ondersteunen bij volwassenheid, certificaten en ketenveiligheid
- Het maken van een realistische route naar quantumveilige PKI
De scoop voor de Nederlandse markt
“Ik ben bezig om de gegeven presentaties, sessies en panels te analyseren en te vertalen om de materie kleiner te maken. Want de meeste organisaties hebben simpelweg niet de tijd om tientallen uren aan keynotes terug te kijken”, aldus Ton. “Wij doen dat bewust wel. Zo kunnen we Nederlandse organisaties helpen om gericht te handelen, zonder te verdrinken in de informatie.”
“In 2026 verhuist de conferentie terug naar Europa (naar Duitsland) en natuurlijk zijn we daar weer bij. Tot die tijd blijven we scherp: de techniek ontwikkelt zich razendsnel, maar volwassen PKI ontstaat alleen met leiderschap, samenwerking en de juiste keuzes. PKIpartners helpt organisaties daar nu al bij”, besluit Ton.
Wil je meer weten of heb je al concrete vragen? Neem dan contact met ons op.
Nederlandse delegatie TNO, TU Delft, Zynyo en PKIpartners na workshop ‘Post Quantum (rechtsgeldig) Quantum safe ondertekenen’.
PKI certificaten
Als maatschappij en als burger zijn wij tegenwoordig vooral afhankelijk van informatie die ons op een digitale wijze ter beschikking wordt gesteld. Waar het voorheen altijd via de post werd verstuurd, kun je nu steeds vaker kiezen om ook belangrijke post via email te ontvangen en te sturen. Daarbij is het dan wel van belang dat je zeker weet met wie je contact hebt. Dus zijn digitale handtekeningen in het leven geroepen. Maar, wanneer is een digitale handtekening rechtsgeldig?
“Een elektronische handtekening is een verzameling gegevens in elektronische vorm, die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die door de ondertekenaar worden gebruikt om te ondertekenen.” Ref: pagina 60 Betrouwbaarheidsniveaus voor digitale dienstverlening
Is een digitale handtekening rechtsgeldig?
Ja, een digitale handtekening is rechtsgeldig áls het betrouwbaar genoeg is. In principe wordt een elektronische handtekening gelijkgesteld aan een handgeschreven handtekening en heeft dus dezelfde mate van rechtsgeldigheid, en kan dus net als de handgeschreven handtekening ook in twijfel worden getrokken. In de wereld van het digitale is er net als in het anologe een gelaagdheid van vertrouwen en zekerheid te vinden. Een scan van een brief met een handtekening erop is ‘nogal’ dun. Want een scan is een scan weergave van een afbeelding en zeer eenvoudig zelf samen te stellen. Google maar eens op ‘handtekening Willem Alexander of Barack Obama’ en met een beetje knip en plakwerk ziet het er leuk uit. Kijk maar naar dit voorbeeld, waar wij de handtekening van Barack Obama onder een nepbrief hebben geplakt:
En maar al te vaak wordt het woord rechtsgeldig wel heel makkelijk en snel gebruikt, met alle gevolgen van dien. Een voorbeeld daarvan is deze uitspraak elektronische handtekening over het KIFID, DeGiro over een betwiste beleggingstransactie. Het Forum Standaardisatie biedt deze informatie rondom rechtsgeldigheid:
“Rechtsgeldigheid van elektronische handtekeningen:
- Qua rechtsgevolg is de gekwalificeerde elektronische handtekening gelijk aan de handgeschreven handtekening.
- Ook andere elektronische handtekeningen kunnen een rechtsgevolg hebben en dienen als bewijsmiddel. Het kale feit dat ze elektronisch zijn, of niet voldoen aan de eisen voor gekwalificeerde elektronische handtekeningen, doet daar niets aan af.”
Ref: pagina 63 Betrouwbaarheidsniveaus voor digitale dienstverlening
Welke digitale handtekening is rechtsgeldig?
We kennen drie soorten van digitale handtekeningen, met elk hun eigen niveau van rechtsgeldigheid:
- De ‘gewone’ elektronische handtekening; het krabbeltje wat je in een PDF reader kan zetten of een afbeelding van een handgeschreven handtekening. Hoewel dit gezien wordt als een digitale handtekening houdt deze niet altijd stand in juridische geschillen.
- De geavanceerde elektronische handtekening; hierbij is de identiteit van de ondertekenaar op enig manier verbonden aan de handtekening. Bijvoorbeeld door middel van een twee-factor authenticatie zoals een SMS.
- De gekwalificeerde elektronische handtekening; dit is eigenlijk de enige variant die volledig veilig en rechtsgeldig is. Deze digitale handtekening wordt gebaseerd op een zogenaamd gekwalificeerd certificaat, waardoor de authenticiteit volledig controleerbaar is.
De afspraken hierover zijn Europees vastgelegd in de eIDAS verordering. Dit document is lastig te lezen, maar kort geleden heeft het Nederlandse Forum voor Standaardisatie een zeer leesbare en goed te gebruiken handreikeing gepubliceerd waarin in hoofdstuk 9 uitstekend beschreven wordt wat de kern van de zaak is:
“Eigenlijk wordt de keuze tussen het niveau van geavanceerde of gekwalificeerde elektronische handtekening vooral bepaald door:
- De zwaarte van de gevolgen. In de zin van economisch belang of wijziging van gegevens in basisregistraties.
- De omkeerbaarheid van de gevolgen.
- De sanctioneerbaarheid van het doen van een valse opgave. Zijn de gevolgen zwaarwegend, en is de omkeerbaarheid beperkt, dan is het aan te bevelen te kiezen voor een gekwalificeerde elektronische handtekening.”
Ref: pagina 66 Betrouwbaarheidsniveaus voor digitale dienstverlening
Een digitale handtekening aanvragen
Het proces van een digitale handtekening is gekoppeld aan het niveau van vertrouwen wat je wilt gebruiken. Des te meer zekerheid je wilt bieden of hebben met je handtekening, hoe meer controle er moet plaatsvinden. Degene met het hoogste niveau (gekwalificeerd of QES – Qualified Electronic Signature) vraagt om een persoonlijke identificatie. Ook zijn er varianten die gekoppeld zijn aan een smartphone, in een certificaat op een USB Stick, smartcard of server. Wij leveren enkel de handtekeningen met het hoogste niveau van vertrouwen: de gekwalificeerde elektronische handtekening ook bekend als QES voor Qualified Electronic Signature of onder eIDAS QCert for ESig. Wij begeleiden het hele proces en staan je bij in elke stap. Wij vertellen wat er gaat komen en wat er gedaan moet worden. Dit doen we voor een enkele handtekening, maar ook voor organisaties waar er meerdere handtekeningen in gebruik zijn. Onze keuze om enkel voor het hoogste te gaan is omdat er dan geen twijfel, risico of schijnveiligheid bestaat of iets nou wel of niet goed ondertekend is. Daarnaast zijn de oplossingen kosteneffectief en goed te managen
Hoe ziet een digitale handtekening eruit?
Digitale handtekening voorbeeld – de regel die de authenticatie toont
Digitale handtekening voorbeeld – Authenticatie zegel/ eSeal
Digitale handtekening voorbeeld – opgeslagen persoonsgegevens
Conclusie
Hoewel een digitale handtekening dus in principe net zo rechtsgeldig is als een handgeschreven handtekening, loop je het risico dat een niet goed te herleiden handtekening wordt afgewezen in een rechtszaak. Bij belangrijke documenten of communicatie is de gekwalificeerde elektronische handetekening dan ook de enige die echt aan te raden is
Verandering Gekwalificeerde elektronische handtekeningen onder PKIoverheid G3 naar G4
Onder het toezicht van de Staat der Nederlanden worden QES handtekeningen onder het stelsel PKIoverheid G3 uitgegeven voor alle voorkomende toepassingen als medewerker binnen een organisatie, beroepsgebonden certificaten en ook organisatie gebonden zegels (zie ook voorbeeld). Na november 2028 zijn G3 uitgegeven certificaten end-of-life en worden vervangen door de zogenaamde G4. Op moment van schrijven zijn handtekening onder de nieuwe G4 nog niet beschikbaar. Gevolg is daarvan is dat nu in november 2025 enkel nog maximaal 2 jaar geldige kunnen worden uitgegeven. Een bijkomend gevolg is dat ook certificaten onder die nieuwe G4 nog niet getest kunnen worden op de werking voor bijvoorbeeld berichten jaarrekening, deponeringen door accountants en mutaties KVK en Kadaster door Notariaat en Gerechtsdeurwaarders.
Uitspraken van rechters omtrent de rechtsgeldigheid van digitale handtekeningen:
https://www.knb.nl/notariaat-magazine/2021-03/rechtspraak-uitgelegd-wanneer-zijn-ze-voldoende-betrouwbaar
https://www.vanbrug.nl/wp-content/uploads/2023/12/De-elektronische-handtekening-in-het-ondernemingsrecht-1.pdf
Blog, Hulp voor PKI certificaten, PKI certificaat beheer, PKI certificaten, PKIoverheid, Uncategorized
We gaan van de huidige PKIoverheid server G1-certificaten naar de PKIoverheid private server G4-certificaten. Dit is een stelselbrede vernieuwing die de beveiliging aanscherpt en de weerbaarheid van het stelsel vergroot. Dit heeft effect op onder andere de koppelingen met Digipoort, Digilevering en Digikoppeling. Net als dat er eens in de zoveel jaar een nieuwe versie reisdocumenten komt, is ook PKIoverheid toe aan vernieuwing. De G1 bestaat al sinds 2013 en sindsdien is er veel veranderd.
Tegelijkertijd gaan ook beroeps- en persoonscertificaten voor de gekwalificeerde elektronische handtekening van PKIoverheid G3 naar G4. Dit in opmaat naar 12 november 2028: vanaf dat moment zijn de huidige G1- en G3-cerficiaten niet meer geldig. Ze kunnen dan dus ook niet meer gebruikt worden. Concreet betekent dit dat er vanaf 12 november 2025 geen certificaten meer bestaan die 3 jaar geldig zijn. Dat is op zich geen probleem, omdat er wél 2 jaar geldige certificaten beschikbaar zijn tot 12 november 2026. Tot die tijd worden alle applicaties G4-gereed gemaakt. Naar verwachting kunnen onze leveranciers (Digidentity, KPN, DigiCert QuoVadis) de komende maanden al G4-certificaten gaan uitgeven.
De kernmomenten helder op een rijtje
12 november 2025: geen nieuwe uitgifte 3 jaar geldige certificaten meer.
12 november 2026: geen nieuwe uitgifte 2 jaar geldige certificaten meer.
12 november 2028: einde G1 en G3 en iedereen over op G4-certificaten.
Communicatie over G4 in begrijpelijke taal
Zoals je van ons gewend bent, zijn we volop in contact met alle relevante partijen bij overheid, overheidsdienstverleners, certificaatproducenten en softwareleveranciers. We bundelen de kennis en stand van zaken en communiceren hierover in begrijpelijke taal.
G-4 communicatiekanalen
Naast de website via:
- De maandelijkse PKIupdate: nog niet geabonneerd? Abonneer je hier.
- De LinkedIn-bedrijfspagina van PKIpartners: volg hier.
- Het persoonlijke LinkedIn profiel van Ton Oosterwijk: connect hier.
Dit gaan we concreet doen
Een deel van onze website wordt met 3 onderdelen specifiek ingericht voor deze belangrijke transitie.
- Een sectie veel gestelde vragen samenstellen voor jou als eindgebruiker, onze leveranciers en ontwikkelaars van software en applicaties.
- Een overzichtspagina samenstellen met publicaties vanuit de overheid en overheidsdienstverleners.
- Een overzicht geven van toepassingen waarvoor PKIoverheid nu al verplicht is en dús geraakt wordt door de transitie naar G4. Zie ons artikel ‘nieuwe generatie G4-certifcaten enkel in de vernieuwde Digipoort.’
Voor nu: geen zorgen nodig, wél aandacht Uiteraard informeren we je ook via onze gebruikelijke serviceberichten als het tijd wordt om je certificaten te vernieuwen. Wij blijven ervoor zorgen dat je op het juiste moment, het juiste werkende certificaat ontvangt. Maak je dus vooral geen zorgen. Onze persoonlijke aandacht en service veranderen niet in dit onstuimige certificaatlandschap. Heb je vragen? Bel of mail ons dan. Je kent ons: geen AI-chatbots, lange keuzemenu’s of ingewikkelde webpagina’s uit. Onze oproep: zoek contact, durf te vragen. Wij zijn er voor je!
Blog, Hulp voor PKI certificaten, PKI certificaat beheer, PKI certificaten
Nieuwe generatie G4-certificaten vraagt om vernieuwde Digipoort. We schreven er eerder al dit blog over.
De digitale infrastructuur van Nederland rust op een aantal bouwstenen. Diginetwerk vormt de basis. Daarboven draaien voorzieningen als Digipoort, Digilevering, Digikoppeling en Digimelding. Vooral Digipoort speelt een cruciale rol: dit is de poort voor berichtenuitwisseling tussen bedrijfsleven en overheid. Juist daar vindt nu een belangrijke verandering plaats. Digipoort wordt vernieuwd én er komt tegelijkertijd een nieuwe generatie PKIoverheid-certificaten: G4.
Oude en nieuwe Digipoort
“De essentie is simpel,” zegt Ton Oosterwijk van PKIpartners. “De aanstaande G4-certificaten zijn straks alleen te gebruiken in de nieuwe Digipoort. In de huidige Digipoort werken de nieuwe G4-certificaten niet. Maar de nieuwe Digipoort is er nog niet volledig. Dat geeft spanning.”
Aanvankelijk was het plan om vele tientallen berichtenstromen in één keer over te zetten. Grote afnemers van Digipoort als de Belastingdienst en UWV zagen dat niet zitten. Daarom wordt de overgang nu gefaseerd uitgevoerd. Ondertussen tikt de tijd door en komt ook de beschikbaarheid G4-certificaten dichterbij.
Twee brandstoffen werkt niet
De situatie laat zich volgens Ton goed vergelijken met een auto die zowel op benzine als op waterstof zou moeten rijden. “Dat klinkt handig, maar in de praktijk werkt het niet. Je moet vooralsnog op één brandstof vertrouwen. Zo is het ook met de certificaten: huidige G1-certificaten werken in de nieuwe Digipoort en nieuwe G4-certificaten niet in de huidige Digipoort.
Communicatie en werkelijkheid
In de officiële berichtgeving klinkt het vaak alsof de komst van G4 vooral wordt ingegeven door nieuwe beveiligingskaders en strengere eisen. Ton ziet dat genuanceerder. “Veiligheid is zeker een ding. Zeker ook omdat post-kwantumcomputers aanstaande zijn en de huidige encryptie ontsleuteld kan worden, Tegelijkertijd is de realiteit ook eenvoudiger: certificaten hebben, net als een ID-bewijs, een looptijd en verlopen op een bepaald moment. Dat vraagt om vernieuwing. Maar omdat de oude Digipoort G4 niet ondersteunt, wordt de overstap nu gekoppeld aan de migratie naar de nieuwe omgeving.”
Waarom wil je dit weten?
Voor bedrijven, softwareleveranciers en instellingen die Digipoort gebruiken, is dit geen ver-van-mijn-bed-show. Het raakt direct aan de continuïteit van hun digitale processen. Het gaat over compliance, over het tijdig aanpassen van systemen, en over de zekerheid dat gegevensuitwisseling met de overheid betrouwbaar blijft. Wie nu vooruitkijkt, voorkomt dat er later onder hoge tijdsdruk moet worden geïmproviseerd.
PKIoverheid G4-certificaten op tijd: ongeacht Digipoort of Digilevering?
Tegelijkertijd volgen wij de ontwikkelingen op de voet en zorgen we ervoor dat onze klanten op de hoogte zijn en de juiste certificaten op het juiste moment werkend hebben. Ongeacht of dit voor SBR en Digipoort, of voor onze klanten van Lokale overheid is die PKIoverheid nodig hebben voor Digilevering etc.
Voorop in overzicht
Voor organisaties die hun weg zoeken in deze veranderingen is er weinig overzicht. “Nergens is een compleet overzicht te vinden. Daarom zijn wij er zelf mee begonnen,” vertelt Ton. PKIpartners biedt inmiddels een bijna dagelijks groeiend overzicht van PKIoverheid-toepassingen, zodat organisaties weten waar ze aan toe zijn.
Wie Digipoort gebruikt voor de gegevensuitwisseling met de overheid, kan er dus niet omheen: de komende jaren verandert er veel. Het is belangrijk om te begrijpen waar je staat en wanneer de overstap naar G4 voor jou relevant wordt.
“Wij zitten vooraan in het gesprek,” zegt Ton. “Het is echt een hobbel. Maar juist daarom is het belangrijk dat organisaties nu inzicht krijgen in wat er gaat gebeuren.”
Wij gaan veel aandacht geven aan het onderwerp. En zoals onze klanten ons kennen; gaan we ook oplossingen aanbieden met de passende service.
Bekijk hier het overzicht van PKIoverheid-toepassingen
Wil je verder praten over dit belangrijke onderwerp? Neem contact met ons op. We helpen je graag met de nieuwe generatie G4-certificaten en de toegang tot Digipoort.
Bron: Logius
