Authentieke bron

Een authentieke bron is het juridisch gezaghebbende register - zoals de BRP - waartegen EUDI Wallet-attestaties attributen verifieren onder eIDAS 2.

Een authentieke bron is een repository of systeem dat de gezaghebbende waarde van een attribuut bevat: de Basisregistratie Personen (BRP) voor naam en geboortedatum, het handelsregister voor bedrijfsgegevens, een beroepsregister voor bevoegdheden, of een kentekenregister voor voertuiggegevens. Artikel 3(47) van eIDAS 2 definieert dit als een repository of systeem, beheerd onder de verantwoordelijkheid van een overheidsorgaan of een private entiteit, dat attributen bevat en levert over een natuurlijke of rechtspersoon of een object, en dat wordt gezien als primaire bron van dat attribuut of wettelijk als authentiek is erkend op Unie- of nationaal niveau, inclusief bestuurspraktijk. De termen authoritative source, base registry, en het Nederlandse 'gezaghebbende bron' worden soms informeel gebruikt voor hetzelfde concept, maar eIDAS 2 zelf gebruikt de term 'authentic source' ('authentieke bron' in het Nederlands). De waarde van een authentieke bron wordt over het algemeen gezien als juridisch gezaghebbend voor het attribuut dat zij bevat, al kan de bron zelf - net als elk register - fouten bevatten. Bij de Nederlandse basisregistraties wordt dit versterkt door een wettelijke verplichting tot verplicht gebruik, zoals vastgelegd in de Wet basisregistratie personen (BRP) en de Handelsregisterwet 2007: overheidsorganen moeten uitgaan van de geregistreerde waarde, en elke kopie die hiervan afwijkt, geldt als onjuist. Nederlandse basisregistraties zijn een nationaal voorbeeld van dit concept, maar de twee zijn niet identiek: niet elke authentieke bron onder eIDAS 2 is een Nederlandse basisregistratie, en niet elke basisregistratie is aangewezen voor grensoverschrijdende attribuutverificatie - de Basisregistratie Grootschalige Topografie (BGT) bevat bijvoorbeeld topografische kaartgegevens waartegen aanbieders van attestaties onder eIDAS 2 geen aanleiding hebben attributen te verifieren. Welke Nederlandse basisregistraties daarnaast zijn aangewezen als authentieke bron voor eIDAS 2-doeleinden, volgt uit de nationale implementatie van eIDAS 2, samen met verwante nationale kaders zoals de Wet digitale overheid (Wdo); op het moment van schrijven is deze aanwijzing voor verschillende registers nog niet afgerond.

In het EUDI-ecosysteem verplicht artikel 45e van eIDAS 2 de lidstaten om ervoor te zorgen dat gekwalificeerde aanbieders die QEAA's uitgeven relevante attributen elektronisch kunnen verifieren tegen de toepasselijke authentieke bron bij een overheidsorgaan, op verzoek van de gebruiker, binnen een termijn die wordt bepaald door bijbehorende uitvoeringshandelingen. Dit geldt in elk geval voor de attributen uit bijlage VI, voor zover deze steunen op een authentieke bron bij een overheidsorgaan.

Voor persoonsidentificatiegegevens bepalen Verordening (EU) 2024/2977 - de uitvoeringsverordening voor PID - en het Architecture and Reference Framework (ARF) dat deze verificatie plaatsvindt bij de uitgifte van de attestatie, in plaats van elke keer dat deze later aan een relying party wordt getoond. Voor andere attribuutcategorieen beschrijft het ARF dezelfde aanpak op het moment van uitgifte als een ontwerpkeuze en geen eis die letterlijk in artikel 45e staat. Omdat verificatie doorgaans alleen bij uitgifte plaatsvindt, kunnen de gegevens van een attestatie verouderen als de authentieke bron daarna wijzigt; of de attestatie dan nog betrouwbaar is, hangt af van intrekkings- en statuslijstmechanismen, niet van de authentieke bron zelf.

Omdat de wallet de resulterende attestatie toont in plaats van het register live te bevragen, hebben relying parties tijdens die presentatiestroom geen rechtstreeks contact met de authentieke bron, en het register zelf verneemt niets over wanneer of waar de attestatie later wordt gebruikt. Overheidsorganen die Pub-EAA's uitgeven, vallen onder een afzonderlijke set eisen op grond van artikel 45f van eIDAS 2, beschreven in dat begrip. Deze koppeling aan een register maakt een digitaal attribuut meer dan een bewering: het herleidt naar de bron die het juridisch definieert. Het algehele tijdpad waarbinnen lidstaten de EUDI Wallet moeten aanbieden, staat beschreven in dat begrip; zolang dat proces niet is afgerond, kan niet elke attribuutcategorie in elke lidstaat al worden geverifieerd tegen een authentieke bron.