Conformiteitsbeoordelingsinstantie (CAB)
Een conformiteitsbeoordelingsinstantie (CAB) toetst vertrouwensdienstverleners aan eIDAS/ETSI en kan EUDI Wallet-oplossingen certificeren onder eIDAS 2.0.
Een conformiteitsbeoordelingsinstantie (CAB) is de geaccrediteerde auditor die beoordeelt of een aanbieder van een vertrouwensdienst aan de eIDAS-eisen voldoet, waarbij de ETSI-normen (EN 319 401 en de dienstspecifieke normen) als toetsingscriteria dienen. In algemenere zin is een CAB elke geaccrediteerde instantie die naleving van vastgestelde normen toetst. CAB-audits onder eIDAS gelden alleen voor gekwalificeerde vertrouwensdiensten; op EU-niveau bestaat geen vergelijkbare verplichte conformiteitsbeoordeling voor niet-gekwalificeerde vertrouwensdiensten, al kunnen lidstaten hun eigen nationale eisen stellen. Voordat een vertrouwensdienstverlener de gekwalificeerde status kan krijgen, moet een initiele conformiteitsbeoordeling plaatsvinden; het resulterende rapport wordt samen met de kennisgeving van intentie van de dienstverlener ingediend bij een toezichthouder zoals de RDI, die dit rapport beoordeelt voordat de gekwalificeerde status wordt verleend. Bij periodieke audits tijdens de gekwalificeerde status verplicht artikel 20, lid 1, van eIDAS 910/2014 de gekwalificeerde vertrouwensdienstverlener (QTSP) om het conformiteitsbeoordelingsrapport van de CAB binnen drie werkdagen na ontvangst bij de toezichthouder in te dienen. De toezichthouder kan onder artikel 20, lid 2, ook op elk moment een ad-hoc conformiteitsbeoordeling gelasten, bijvoorbeeld naar aanleiding van een klacht of vermoedelijke non-conformiteit, in plaats van te wachten op de volgende periodieke audit. Verordening (EU) 2024/1183 (eIDAS 2.0) heeft die verplichting laten staan: het gewijzigde artikel 20, lid 1, bepaalt nog steeds dat gekwalificeerde vertrouwensdienstverleners het rapport binnen drie werkdagen na ontvangst indienen. De cyclus van 24 maanden op eigen kosten stond al in de tekst van 2014. Wat eIDAS 2 aan lid 1 heeft toegevoegd, is dat de audit nu ook moet bevestigen dat aan artikel 21 van NIS2 wordt voldaan, en het introduceerde artikel 20, lid 1a, dat de aanbieder verplicht een geplande audit een maand vooraf te melden en de toezichthouder als waarnemer toe te laten. Uitvoeringsverordening (EU) 2025/2162 van de Commissie van 27 oktober 2025, vastgesteld op grond van artikel 20, lid 4, werkt de accreditatie-eisen voor CAB's, de vorm van het conformiteitsbeoordelingsrapport en de criteria voor het conformiteitsbeoordelingsschema verder uit. De CAB rapporteert alleen de bevindingen - het is de toezichthouder die het rapport verifieert en de gekwalificeerde status verleent, bevestigt of intrekt, wat vervolgens wordt weergegeven op de EU Trusted List.
CAB's worden geaccrediteerd onder de EU-accreditatieverordening (765/2008), specifiek voor eIDAS; een QTSP moet, op eigen kosten, uiterlijk elke 24 maanden opnieuw worden beoordeeld. Voorbeelden van organisaties die als CAB voor eIDAS-audits zijn geaccrediteerd zijn TUV Informationstechnik GmbH (TUViT), LSTI en de British Standards Institution (BSI). Onder eIDAS 2.0 certificeren CAB's die door lidstaten zijn aangewezen onder het gewijzigde artikel 5c EUDI Wallet-oplossingen. Uitvoeringsverordening (EU) 2024/2981 van de Commissie van 28 november 2024 regelt inmiddels de eisen en procedures voor deze certificering, inclusief de eisen aan de CAB's die deze uitvoeren, in plaats van dit over te laten aan een nog niet vastgesteld EU-cyberbeveiligingscertificeringsschema onder de Cybersecurity Act. Deze wallet-certificerende CAB's zijn geaccrediteerd onder de 765/2008-verordening, al verschillen deze aanwijzing en reikwijdte van de accreditatie die wordt gebruikt voor het auditen van vertrouwensdiensten. Certificering van QSCD-apparaten is een apart proces, uitgevoerd door instanties die zijn aangewezen onder Artikel 30 van eIDAS, en niet door CAB's die vertrouwensdienstverleners auditen.