Beeindigingsplan

Het plan dat een gekwalificeerde aanbieder klaar moet hebben voor het stoppen: wie houdt administratie en intrekkingsdata beschikbaar, en wie hoort het wanneer.

Het plan dat een QTSP klaar moet hebben voor het einde van zijn eigen dienst. eIDAS eist het in artikel 24(2)(i): een actueel beeindigingsplan om de continuiteit van de dienst te waarborgen, volgens bepalingen die de toezichthoudende instantie verifieert op grond van artikel 46b, lid 4, onder i - het artikel dat bij de wijziging van eIDAS in 2024 in de plaats kwam van de oude toezichtbepalingen. Het is een van de eisen die een gekwalificeerde aanbieder onderscheiden van een goed geleide.

Het staat niet los. Artikel 24(2)(h) eist dat de aanbieder alle relevante informatie over de gegevens die hij uitgaf en ontving vastlegt en toegankelijk houdt zolang dat nodig is nadat zijn activiteiten zijn beeindigd - voor bewijs in juridische procedures en voor de continuiteit van de dienst. Samen beantwoorden die twee punten de vraag die een klant altijd zou moeten stellen: als jullie verdwijnen, wat gebeurt er dan met het bewijs dat ik al heb?

Een echt plan noemt dus namen. Wie de administratie en de intrekkingsinformatie overneemt, en onder welke afspraak. Hoe lang CRL- en OCSP-diensten blijven antwoorden, want een certificaatketen die niet te controleren is, breekt elke validatie eronder. Hoe abonnees en vertrouwende partijen worden geinformeerd, en wanneer. Hoe de vermelding op de EU-vertrouwenslijst wordt ingetrokken. En wie dat alles betaalt, en daarom horen het plan en de eis van voldoende financiele middelen in hetzelfde gesprek. Voor een klant met langlevende documenten is dit ook het sterkste argument voor langetermijnvalidatie: bewijs dat je zelf bewaart, hangt niet af van het voortbestaan van een ander.