Attestatieaanbieder
Attestatieaanbieder is de verzamelnaam voor de drie rollen die het ARF definieert voor het uitgeven van attribuut-credentials: een QEAA-aanbieder, een PuB-EAA-aanbieder en een niet-gekwalificeerde EAA-aanbieder. Welke van de drie een uitgever is, bepaalt hoeveel vertrouwen een relying party kan stellen in wat hij uitgeeft.
Een QEAA Provider is een gekwalificeerde trust service provider die op een nationale Trusted List staat, waardoor zijn attestaties het wettelijke vermoeden van juistheid van eIDAS 2.0 dragen, hetzelfde juridische gewicht als een gekwalificeerde elektronische handtekening. Een PuB-EAA Provider is een overheidsinstantie, of een partij die namens haar optreedt, die attestaties uitgeeft zonder gekwalificeerde certificering te doorlopen, omdat het eigen publieke mandaat al het vertrouwen vestigt dat een vertrouwende partij nodig heeft. Een EAA Provider is elke andere organisatie die attestaties uitgeeft op het assurance-niveau dat ze kan waarmaken, wat de meeste use cases in de private sector dekt, zoals een beroepsorganisatie die een vergunning bevestigt of een werkgever die een functie bevestigt. Alle drie putten voor de attributen die ze attesteren uit Authentic Sources, en een vertrouwende partij controleert de Trust Anchor achter een Attestation Provider om te weten met welke van de drie hij te maken heeft, omdat het juridische gewicht van de resulterende credential volledig van die classificatie afhangt. Een verifier die een attestatie accepteert voor een gereguleerd proces, bijvoorbeeld het openen van een bankrekening onder KYC-regels, heeft doorgaans een QEAA of PuB-EAA nodig in plaats van een gewone EAA, terwijl een loyaliteitsprogramma of een interne bedrijfsbadge kan vertrouwen op de lagere lat die een EAA Provider biedt. Het ARF verplicht elke Attestation Provider zichzelf en de attestatietypen die hij uitgeeft te registreren, zodat het onderscheid tussen de drie rollen afdwingbaar is en niet louter een bewering van de provider zelf.
Gerelateerde termen
Kan een EAA Provider dezelfde attestaties uitgeven als een QEAA Provider?
Nee. Een EAA Provider geeft attestaties uit op het assurance-niveau dat hij kan waarmaken, zonder de gekwalificeerde certificering die een QEAA Provider heeft. Een vertrouwende partij die het wettelijke vermoeden van juistheid van eIDAS 2.0 nodig heeft, bijvoorbeeld voor een gereguleerd KYC-proces, moet vertrouwen op een QEAA of PuB-EAA Provider in plaats van op de attestatie van een gewone EAA Provider.