ACME
Deze pagina wordt beheerd door Forum Standaardisatie, zie: https://www.forumstandaardisatie.nl/open-standaarden/Acme
07-10-2025: Het Overheidsbrede Beleidsoverleg Digitale Overheid (OBDO) heeft op 23 september 2025 ermee ingestemd om ACME te verplichten voor de overheid ('Pas toe of leg uit') voor publiek vertrouwde TLS-certificaten en aan te bevelen voor niet-publiek vertrouwde certificaten.
Beschrijving
Beveiligingscertificaten (TLS-certificaten) voor web- en mailverkeer van de overheid met altijd een afgebakende geldigheidsduur kunnen automatisch en tijdig worden verkregen, vernieuwd en ingetrokken. Dat maakt het beheer ervan voor de overheid efficiënter en aanmerkelijk minder foutgevoelig. Met het toepassen van de standaard Automatic Certificate Management Environment (ACME) is dit mogelijk. Het verbetert de bereikbaarheid en beschikbaarheid van web- en mailsystemen aanzienlijk en maakt de digitale overheid betrouwbaarder, wendbaarder en minder leveranciersafhankelijk.
Status
| Lijst status | Verplicht ('Pas toe of leg uit') |
|---|---|
| Functioneel toepassingsgebied | ACME moet worden toegepast voor het automatiseren van de interactie tussen certificaatautoriteiten en certificaatgebruikers, met als doel het proces van het verkrijgen, vernieuwen en intrekken van publiek vertrouwde TLS-certificaten wendbaarder en betrouwbaarder te maken. |
| Organisatorisch werkingsgebied | Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-) publieke sector. |
| Aanvullende verplichtingen | |
| Europese status (MSP) | Nee |
Nut en werking
| Typering | Protocol voor het geautomatiseerd verkrijgen, vernieuwen en intrekken van TLS-beveiligingscertificaten,Protocol voor het geautomatiseerd uitgeven en vernieuwen van beveiligingscertificaten |
|---|---|
| Nut | Het automatiseren van certificaatbeheer door de overheid op basis van ACME zorgt voor het efficiënter en betrouwbaarder verkrijgen, vernieuwen en intrekken van TLS-certificaten. Dit maakt de digitale overheid betrouwbaarder, wendbaarder en minder leveranciersafhankelijk.
Het gebruik van ACME draagt bij aan de bereikbaarheid en betrouwbaarheid van de digitale overheid, doordat certificaatbeheer minder foutgevoelig wordt. Daarnaast vermindert het gebruik van ACME de beheerlast voor het beheer van TLS-certificaten. Dit is met name relevant sinds het CAB Forum de levensduur van TLS-certificaten heeft verlaagd naar 47 dagen per 14 maart 2029. Zie ook TLS Certificate Lifetimes Will Officially Reduce to 47 Days - DigiCert. Omdat ACME een gestandaardiseerd protocol is, zijn TLS-certificaten en automatiseringsprocessen niet afhankelijk van de specifieke implementatie van een Certificate Authority (CA). Dit zorgt voor betere portabiliteit tussen verschillende systemen en providers en daardoor wordt de leveranciersonafhankelijkheid vergroot.Tot slot is ACME ook cruciaal voor crypto-agility. Door het automatiseren van certificaatbeheer is het op certificaatniveau eenvoudiger om kwetsbare algoritmen te vervangen en nieuwe technologieën, zoals post-quantum cryptografie, te integreren. |
| Werking | Overheidsorganisaties kunnen op basis van ACME hun publiek vertrouwde TLS-certificaten geautomatiseerd verkrijgen, vernieuwen en intrekken. Deze certificaten kunnen onder andere worden ingezet om het gegevensverkeer tussen de browser van de eindgebruiker en de server waar de website gehost is te versleutelen. Een op die manier beveiligde website is te herkennen aan het slotje in de adresbalk. Ook mailverkeer kan met deze certificaten worden beveiligd. |
| Relatie met andere FS-Standaarden | |
| Domein | |
| Trefwoorden | Website,Internet |
| Gangbaar |
Detailinformatie
| Volledige naam | Automated Certificate Management Environment |
|---|---|
| Versie | 2.0 |
| Specificatiedocument | https://datatracker.ietf.org/doc/html/rfc8555 |
| Beheerorganisatie | IETF |
Toepassing
| Community | Meetings for acme |
|---|---|
| Implementatiehulpmiddelen | |
| Conformiteitstest | Via de support procedures van de gekozen Certificate Authority kan assistentie gevraagd worden met betrekking tot de implementatie. Testen van een implementatie kan ook gratis via Let’s Encrypt. |
| Praktijkvoorbeelden | Er zijn diverse implementaties van ACME beschikbaar, waaronder Certbot, acme.sh, lego, Caddy en Dehydrated. Deze implementaties zijn open source of vrij te gebruiken. Dit betekent dat organisaties deze kunnen downloaden, aanpassen en implementeren in hun eigen omgeving. Op de website van Let’s Encrypt wordt een overzicht gegeven van ACME client implementaties. Zie ook de publicatie van het NCSC ‘Zorgeloos certficaatbeheer’ over het automatiseren van het beheer van certificaten met ACME. |
Toetsingsinformatie
| Toelichting bij opname lijst Forum Standaardisatie | Voor niet-publiek vertrouwde TLS-certificaten (want vaak intern beheerd en/of gecreëerd) is ACME niet verplicht ('Pas toe of leg uit'), maar aanbevolen. |
|---|---|
| Adoptieadviezen | Het OBDO heeft op 23 september 2025 op advies van het Forum Standaardisatie de volgende oproepen ten aanzien van de adoptie van ACME vastgesteld:
|
| Uitstekend beheer | Nee |
| Aanmelder | |
| Documentatie voor opname lijst Forum Standaardisatie | |
| Datum van aanmelding | 2023-10-23 |
| Datum van besluit OBDO | 2025-09-23 |
Overig
| Waarvoor geldt de verplichting | |
|---|---|
| Toelichting relatie met andere FS-standaarden | |
| Aandachtspunten | |
| Advies aan beheerder | |
| Sjabloon-bestektekst | |
| CPV-code(s) | |
| Leveranciers |
Documentatie
Gewijzigd:
10 april 2026 09:58:29
Verplichting: Informatief
Beheerregime:
Fase: Ontwikkelfase
17 november 2025 13:51:05
10 april 2026 09:58:29
17
Informatief
