Bedrijfscertificaat

Een bedrijfscertificaat wijst een organisatie, niet een persoon, aan als houder - basis voor zegels, beveiligde websites en bedrijfslogins.

Een bedrijfscertificaat is een X.509-certificaat waarvan het onderwerp een rechtspersoon is - een bedrijf, stichting, overheidsorgaan of andere organisatie - in plaats van een natuurlijk persoon. Waar een persoonlijk certificaat een individu identificeert, koppelt een bedrijfscertificaat een sleutelpaar aan de organisatie zelf, doorgaans herkenbaar aan de geregistreerde naam en een KVK-nummer in plaats van een persoonsnaam.

Wat je met het certificaat kunt doen, hangt volledig af van het betrouwbaarheidsniveau erachter. De bijlagen waarnaar hieronder wordt verwezen, staan in de gewijzigde eIDAS-verordening - eIDAS 2.0, formeel Verordening (EU) 2024/1183, van kracht sinds 20 mei 2024 - die het kader voor gekwalificeerde vertrouwensdiensten heeft uitgebreid en geactualiseerd ten opzichte van de oorspronkelijke regels uit 2014:

• als basis voor een gekwalificeerd elektronisch zegel: geeft een gekwalificeerde vertrouwensdienstverlener het certificaat uit onder bijlage III van eIDAS, dan wordt het een gekwalificeerd certificaat voor een gekwalificeerd elektronisch zegel, waarmee de organisatie zelf documenten en gegevens kan verzegelen.
• als basis voor website-authenticatie: uitgegeven onder bijlage IV van eIDAS wordt het het certificaat achter een gekwalificeerd website-authenticatiecertificaat (QWAC), dat aantoont welke organisatie een website exploiteert.
• voor dagelijkse organisatorische authenticatie: veel bedrijfscertificaten zijn helemaal niet gekwalificeerd - ze authenticeren een server, een API-verbinding of een gedeelde mailbox als eigendom van de organisatie, op het betrouwbaarheidsniveau dat de uitgevende certificate authority biedt, vaak aangeduid als organisatie-gevalideerde (OV)-certificaten.

Bij het uitgeven van elk van deze varianten staat dezelfde vraag centraal die een registratie-autoriteit moet beantwoorden: wie is bevoegd om namens de organisatie een certificaat aan te vragen. Die controle verloopt doorgaans via het handelsregister - een authentieke bron - en een eventueel mandaat van de aanvrager, dezelfde logica die ook elders in de identiteitscontrole onder eIDAS wordt gebruikt.

Let op: een bedrijfscertificaat hebben is niet hetzelfde als een gekwalificeerd elektronisch zegel hebben. Alleen een certificaat dat voldoet aan bijlage III van eIDAS en is uitgegeven door een QTSP levert een gekwalificeerd zegel op; veel bedrijfscertificaten zijn niet-gekwalificeerd en bedoeld voor intern gebruik of gebruik tussen bedrijven, niet voor het sterkste juridische effect.