PKIoverheid stapt over op G4
Alles wat u moet weten om goed voorbereid te zijn
PKIoverheid stapt over op een nieuwe generatie certificaten: G4. De huidige G1- en G3-certificaten werken tot uiterlijk november 2028. Daarna stoppen ze definitief.
Organisaties die PKIoverheid-certificaten gebruiken voor digitale koppelingen met de overheid, voor gekwalificeerde beroepscertificaten of voor servercommunicatie, moeten vóór die datum zijn overgestapt.
Wat is de G4-overstap van PKIoverheid?
PKIoverheid is het Nederlandse stelsel van vertrouwde digitale certificaten voor veilige communicatie, authenticatie en digitale handtekeningen. Digidentity is een erkende PKIoverheid-leverancier en geeft certificaten uit onder de G1- en G3-hiërarchie, en nu ook onder de nieuwe G4-hiërarchie.
G1-certificaten
Digidentity biedt twee G1-certificaten aan: het PKIoverheid Private Server-certificaat voor beveiligde serververbindingen met specifieke (overheid) systemen, en het PKIoverheid Private SBR-certificaat gebruikt voor boekhoudsoftware zoals Exact, Visma, AFAS, Twinfield, SBR Nexus en andere pakketten.
G3-certificaten
Op G3 biedt Digidentity beroepscertificaten aan voor erkende beroepsbeoefenaars zoals accountants. G3-certificaten zijn publiek vertrouwde certificaten die automatisch worden herkend door browsers en software van Microsoft, Google en Apple.
G4-certificaten
De G1- en G3-certificaten zullen vervangen worden door G4-certificaten. G4-certificaten zijn technisch verbeterd ten opzichte van G1 en G3. Het algoritme voor digitale ondertekening is gemoderniseerd van RSASSA-PKCS1-v1_5 naar RSASSA-PSS. De sleutellengte voor cryptografische beveiliging is vergroot. G4-certificaten werken alleen als beide kanten van een verbinding het nieuwe algoritme en de nieuwe sleutellengte ondersteunen.
De geldigheid van de huidige generaties PKIoverheid (PKIo) certificaten, G1 en G3, vervallen op 12 november 2028 om 1.00 uur. Het is technisch onmogelijk om dit te verlengen. Alle certificaten uitgegeven onder G1 of G3 zijn vanaf 12 november 2028 niet meer geldig.
Wat verandert er niet?
De manier waarop u certificaten aanvraagt en gebruikt verandert niet ingrijpend. U bestelt een nieuw certificaat bij een erkende leverancier (TSP) zoals Digidentity, installeert het in uw systemen en gaat verder.
Het aanvragen van een G4-certificaat bij Digidentity verloopt volledig online en op afstand, en is doorgaans dezelfde dag geregeld. De voorbereiding zit vooral in de afstemming met uw softwareleveranciers.
Waarom stapt PKIoverheid over op g4?
Zwaardere beveiliging
De verouderde techniek voor digitale ondertekening (RSASSA-PKCS1-v1_5) wordt vervangen door de modernere internationale standaard RSASSA-PSS. G4 is bovendien voorbereid op post-quantumbeveiliging.
Overzichtelijkere structuur
Elk G4-certificaat heeft één doel en een eigen rootcertificaat. Dit maakt misbruik moeilijker en de naamgeving sluit aan bij internationale standaarden.
Regelgeving
De nieuwe eIDAS-verordening en de Wet Digitale Overheid stellen hogere eisen aan de beveiliging van digitale certificaten.
Digidentity is klaar voor PKIoverheid G4
Op 30 maart 2026 zijn de Digidentity PKIoverheid G4 CA's opgenomen in de EU Trusted List. Opname op de EUTL is een wettelijke vereiste voor elke QTSP die onder eIDAS opereert. De gekwalificeerde elektronische certificaten uitgegeven onder G4 PKIoverheid de hoogste juridische status hebben, die in alle EU-lidstaten wordt erkend.
Eerste Nederlandse QTSP voor G4
Digidentity heeft de overgang van G3 naar G4 als eerste Nederlandse QTSP afgerond. De vermelding van Digidentity is publiek beschikbaar op de EU Trusted List.
Per certificaattype geldt het volgende equivalent:
- PKIoverheid Private Server (G1) wordt vervangen door het G4 Private TLS Generic Devices Organization Validated Server-certificaat.
- PKIoverheid Private SBR (G1) wordt vervangen door het G4 Private Other Generic Legal Persons Organization Validated Authentication-certificaat.
- Beroepscertificaat (G3) wordt vervangen door het G4 EUTL Regulated Profession eSignature-certificaat.
Wat betekent de overstap naar g4 voor mij?
Of de G4-overstap gevolgen heeft voor u, hangt af van welk PKIoverheid-certificaat u gebruikt. Heeft u een Beroepscertificaat, PKIoverheid Private Server- of PKIoverheid Private SBR-certificaat van Digidentity? Dan gebruikt u een G1-certificaat en moet u voor 12 november 2028 overstappen op het G4-equivalent.
In de veelgestelde vragen hieronder leest u welke actie u nu het beste kunt ondernemen.
Veelgestelde vragen
Moet ik nu een G1 of een G4-certificaat aanvragen?
PKIoverheid G1- en G4-certificaten zijn tijdens de transitieperiode beide beschikbaar bij Digidentity. De keuze tussen een G1- en een G4-certificaat hangt af van de software en ketenpartners van de aanvrager. Niet alle software ondersteunt PKIoverheid G4-certificaten al.
Controleer eerst bij uw softwareleverancier of zij G4 al ondersteunen. Ondersteunt uw software G4, dan kunt u direct een G4-certificaat aanvragen bij Digidentity. Ondersteunt uw software G4 nog niet, dan kunt u voorlopig een G1-certificaat aanvragen. Let bij het aanvragen dus op dat u de juiste generatie selecteert.
Wat moet ik doen als ik een Beroepscertificaat heb van Digidentity?
PKIoverheid en Mozilla hebben nieuwe eisen vastgesteld voor de uitgifte en het gebruik van certificaten. Als gevolg hiervan moeten wij uw huidige beroepscertificaat versneld vervangen. Dit wordt vervangen door een nieuw certificaat binnen de PKIoverheid G4-hiërarchie.
U hoeft zelf geen nieuw certificaat aan te vragen. Zodra uw certificaat klaarstaat voor vernieuwing, ontvangt u een melding in de Digidentity-app. U hoeft de vernieuwing vervolgens alleen te bevestigen met uw pincode.
Na deze bevestiging wordt uw beroepstitel opnieuw gevalideerd, zoals vereist door de NBA. Mogelijk ontvangt u hierbij een e-mail waarin wordt aangegeven dat een handmatige controle nodig is. U hoeft hiervoor zelf geen actie te ondernemen; wij pakken deze controle op en zetten deze waar nodig verder door. Zodra de controle is afgerond, is uw nieuwe G4-certificaat beschikbaar.
Wat moet ik doen als ik een PKIoverheid SBR-certificaat heb van Digidentity?
PKIoverheid SBR-certificaten van Digidentity zijn G1-certificaten. Bestaande PKIoverheid SBR-certificaten van Digidentity verlopen voor de G4-deadline van 12 november 2028.
Houders van een geldig PKIoverheid SBR-certificaat van Digidentity hoeven nu nog geen actie te ondernemen. Bij het aanvragen van een nieuw PKIoverheid SBR-certificaat kunt u kiezen tussen een G1- of een G4-certificaat. Een G4 PKIoverheid SBR-certificaat bereidt uw organisatie voor op de transitie en is veiliger.
Belangrijk: Voordat u een G4-certificaat aanvraagt, is het verstandig bij uw softwareleverancier na te gaan of G4 al wordt ondersteund. Klanten die G4 nog niet kunnen gebruiken, kunnen voorlopig een G1-certificaat aanvragen met een verloopdatum voor de G4-transitiedeadline.
Wat moet ik doen als ik een PKIoverheid Server Certificaat heb van Digidentity?
Om de continuïteit van uw diensten te waarborgen, is het belangrijk de overstap naar PKIo G4-certificaten voor te bereiden. De G4-certificaten zijn technisch gewijzigd ten opzichte van de G3-certificaten: het algoritme voor het ondertekenen van berichten is gemoderniseerd en de sleutellengte voor de cryptografische beveiliging is vergroot.
Dit betekent dat een G4-certificaat alleen werkt als beide kanten van de verbinding het moderne algoritme en de nieuwe sleutellengte ondersteunen. Als uw eigen software of IT-omgeving niet geschikt is, werkt het systeem niet. Als uw systeem wel geschikt is, maar de partij waarmee u communiceert niet, werkt het systeem ook niet.
- Controleer uw systemen. Ga na of uw systemen het moderne algoritme (RSASSA-PSS) en de grotere sleutellengte ondersteunen.
- Vraag uw softwareleverancier. Informeer bij leveranciers van applicaties of en wanneer G4-ondersteuning beschikbaar is.
- Stem af met uw ketenpartners. Vraag de partijen waarmee u communiceert om tijdig over te stappen, anders werkt de verbinding niet, ook niet als u zelf al klaar bent.
- Plan de aanschaf en migratie ruim op tijd. Zorg dat u uiterlijk in Q3 2028 op de G4-certificaten overstapt. Wacht niet tot 11 november 2028.
Wanneer moet ik actie ondernemen?
Alle G1- en G3-certificaten vervallen op 12 november 2028 om 1.00 uur. Digidentity adviseert uiterlijk in het derde kwartaal van 2028 over te stappen. Wacht niet tot november 2028, want de voorbereiding en afstemming met leveranciers en ketenpartners kost tijd. Digipoort ondersteunt G4 naar verwachting vanaf eind Q1 2027. Een vroege overstap is zinvol zodra ook de systemen van uw ketenpartners G4 ondersteunen.
Wat als mijn software G4 nog niet ondersteunt?
U kunt voorlopig een G1- of G3-certificaat aanvragen. Zorg dat u tijdig bij uw leverancier navraagt wanneer zij G4 ondersteunen. De G4-rootcertificaten kunt u alvast laten installeren door uw IT-afdeling, ook als u zelf nog geen G4-certificaat gebruikt.
Wat verandert er aan de functie van mijn certificaat?
In G4 heeft elk certificaat één specifiek doel. Gebruikte u voorheen één certificaat voor meerdere doeleinden, dan heeft u in G4 mogelijk twee aparte certificaten nodig. Controleer dit bij Digidentity of uw softwareleverancier voordat u bestelt.
Wat gebeurt er als ik niet overstapt voor 12 november 2028?
Na 12 november 2028 om 1.00 uur werken alle G1- en G3-certificaten definitief niet meer. Koppelingen met systemen zoals DigiD, Digipoort en SBR vallen weg. Digitale handtekeningen op basis van G3-certificaten worden niet meer geaccepteerd. Uw digitale dienstverlening ligt dan stil totdat u bent overgestapt op G4.
Hoe snel kan Digidentity een G4-certificaat leveren?
Digidentity kan een G4-certificaat binnen vijf minuten genereren. Het aanvraagproces is volledig online en op afstand. De voorbereiding aan uw kant, zoals het geschikt maken van uw systemen en het afstemmen met ketenpartners, bepaalt de doorlooptijd van uw migratie.
Waar kan ik meer informatie vinden?
Wilt u meer weten over hoe Digidentity PKIoverheid-certificaten uitgeeft, beheert en intrekt? Lees ons PKIoverheid Certificate Practice Statement.
Meer technische informatie over de G4-migratie, rootcertificaten en OID-nummers vindt u op pkioverheid.nl.
