Hoe u uw eigen Peppol-toegangspunt opzet: zelf beheren of het beheer uitbesteden

Sommige organisaties moeten de rol van Peppol-dienstverlener in eigen naam vervullen: een softwareleverancier die een gereguleerde markt betreedt, een dienstverlener die nationale accreditatie aanvraagt, of een groep die volledige controle wil hebben over haar infrastructuur voor e-facturering. Meestal wegen ze twee opties tegen elkaar af. De ene is om het Access Point zelf op te zetten en te beheren, bijvoorbeeld met open-source software zoals Oxalis of phase4. De andere is om de activiteiten uit te besteden via een Hosted Access Point, waarbij uw organisatie de rol en de certificaten bezit, terwijl een andere aanbieder de infrastructuur beheert.

Als u Peppol nodig hebt voor een groot aantal klanten binnen uw eigen product, hebt u de rol van dienstverlener wellicht helemaal niet nodig. Bij Embedded Peppol vervult Qvalia deze rol en beheert het het toegangspunt, terwijl u uw klanten via één API registreert en koppelt, waarbij elke klant indien nodig zijn eigen Peppol ID krijgt.

In deze gids worden de verschillende trajecten per oktober 2026 met elkaar vergeleken: wat blijft in beide gevallen jouw verantwoordelijkheid, wat wordt gedekt door open-source Access Point-software en wat moet je zelf regelen, welke netwerkvereisten in 2027 van kracht worden en waar nationale accreditatie aanvullende voorwaarden stelt.

Als je deze rol vervult, moet je een dienstverlenersovereenkomst ondertekenen, voldoen aan de beveiligings- en rapportagevereisten van OpenPeppol en verantwoording afleggen aan de betreffende Peppol-autoriteit voor het verkeer dat je verwerkt. Als het de bedoeling is dat je klanten via jouw product e-facturen kunnen verzenden en ontvangen, kun je dat doen zonder dienstverlener te worden. Met Embedded Peppol of een white-labelplatform neemt Qvalia deze rol en de certificeringsverplichtingen op zich.

Het is de moeite waard om deze rol op je te nemen wanneer een toezichthouder, een contract of je bedrijfsmodel dit vereist. Voorbeelden hiervan zijn nationale regelingen, zoals die in de VAE, waar de geaccrediteerde aanbieder de geregistreerde partij moet zijn, en organisaties die Peppol-toegang als eigen dienst verkopen. In het partneroverzicht worden de drie leveringsmodellen met elkaar vergeleken.

De doorslaggevende factor is vaak de markt. Wanneer Qvalia over de accreditatie beschikt die uw klanten nodig hebben, dekt Embedded Peppol dit af. Wanneer nationale regels vereisen dat u zelf de geaccrediteerde partij bent, of wanneer u Peppol-toegang onder uw eigen naam verkoopt, hebt u de rol nodig.

Of u het toegangspunt nu zelf beheert of gebruikmaakt van een gehost toegangspunt, deze verplichtingen rusten op uw rechtspersoon:

De tarieven van OpenPeppol zijn in beide gevallen gelijk. Voor een bedrijf met 11 tot 50 werknemers in de categorieën Access Point en SMP hanteert OpenPeppol een toetredingsvergoeding van 2.100 euro, een jaarlijkse bijdrage van 3.700 euro, plus 2.500 euro aan certificeringskosten die bij de eerste certificering in rekening worden gebracht en daarna aan de jaarlijkse bijdrage worden toegevoegd (OpenPeppol-tarieven).

Er zijn verschillende open-sourceprojecten die het Peppol AS4-profiel implementeren, het protocol dat Access Points gebruiken om documenten uit te wisselen. Ze verschillen in de mate waarin ze meer bieden dan alleen het transport, en in de manier waarop ze in uw systemen kunnen worden geïntegreerd.

Oxalis wordt op grote schaal gebruikt in het Peppol-netwerk. Het is oorspronkelijk ontwikkeld door SendRegning en werd tot maart 2020 onderhouden door het Noorse agentschap Difi. De klassieke Oxalis-AS4-lijn is bevroren op versie 7.2.0, en het project verwijst gebruikers door naar Oxalis-NG, dat in september 2026 versie 1.5.0 bereikte. Uit de aantekeningen op derelease blijkt wat er nodig is om een Access Point up-to-date te houden: ondersteuning voor MLS, het verwijderen van de G2 Peppol PKI nadat OpenPeppol die certificaten op 20 april 2026 heeft ingetrokken, en nieuwe standaarddomeinen nu OpenPeppol de SML overneemt van de Europese Commissie.

Bronnen: de eigen repositories van de projecten en het rapport ‘Vergelijking van AS4-oplossingen voor Peppol’ van KoSIT (augustus 2023). Controleer de actuele release van elk project voordat u een keuze maakt.

Een Access Point in de productieomgeving vereist meer dan alleen AS4-transport. Afhankelijk van de software die u kiest, zijn sommige van deze onderdelen inbegrepen, terwijl u de rest zelf moet opzetten en beheren:

Voor een team dat al Java-services en PKI in productie heeft draaien, is dit allemaal niets bijzonders. Het gaat hier om een permanente operationele verbintenis en niet om een eenmalig project.

Bronnen: het MLS-invoeringsplan van OpenPeppol (juli 2026), het door Peppol Authority Italy gepubliceerde tijdschema voor ISO/IEC 27001 en de specificatie voor de rapportage van eindgebruikersstatistieken. Raadpleeg de actuele plannen van OpenPeppol voordat u zich aan een tijdschema vastlegt.

OpenPeppol vormt de basis. Veel markten voegen daar hun eigen goedkeuring aan toe, en deze geldt ongeacht welke software het Access Point aanstuurt.

Elektronische facturering in de VAE verloopt via geaccrediteerde dienstverleners die zijn goedgekeurd door het Ministerie van Financiën krachtens ministerieel besluit nr. 64 van 2025, zoals gewijzigd bij ministerieel besluit nr. 56 van 2026. Aanvragers moeten onder andere beschikken over een bedrijf in de VAE met een gestort kapitaal van ten minste 50.000 AED, een ISO 22301-certificering, een ISO/IEC 27001-certificering voor het product waarmee zij werken, een beroepsaansprakelijkheidsverzekering, een verzekering tegen misdrijven en cyberfraude, en moeten de onboarding- en productietests bij de Federale Belastingdienst hebben doorlopen. Het gebruik van een product van een derde partij is toegestaan, maar de aanvrager blijft volledig verantwoordelijk voor de dienst. Lees de gids over e-facturering in de VAE.

De hervorming in Frankrijk is op 1 september 2026 van kracht geworden: elk btw-geregistreerd bedrijf moet e-facturen kunnen ontvangen, en kleine en micro-ondernemingen moeten vanaf 1 september 2027 e-facturen gaan versturen. Facturen worden uitgewisseld via „plateformes agréées“ (goedgekeurde platforms), die door de belastingdienst DGFiP worden geregistreerd zodra ze aan de wettelijke vereisten voldoen en de technische en interoperabiliteitstests hebben doorstaan. De DGFiP publiceert de lijst met geregistreerde platforms (Ministerie van Economische Zaken, januari 2026). De DGFiP fungeert tevens als Peppol-autoriteit voor Frankrijk en stelt haar eigen eisen aan dienstverleners die daar actief zijn. Een platform dat is geregistreerd of een aanvraag heeft ingediend als ‘plateforme agréée’, kan zijn toegangspunt (Access Point) op de infrastructuur van Qvalia beheren vanuit zijn eigen rol als dienstverlener. Lees meer op onze pagina over e-facturering in Frankrijk.

Vanaf 1 januari 2027 verloopt de binnenlandse elektronische facturering via gecertificeerde bezorgdienstverleners die op de lijst van de Financiële Administratie staan. Een platform dat geen eigen certificering wenst, kan worden geregistreerd als tussenpersoon voor bezorgdiensten onder een gecertificeerde aanbieder, die vervolgens de verantwoordelijkheid op zich neemt voor de naleving door de tussenpersoon.

De Noorse Peppol-autoriteit verplicht aanbieders om eindgebruikers te verifiëren aan de hand van het Centraal Coördinatieregister voor Rechtspersonen, te controleren of de persoon die namens een eindgebruiker ondertekent daartoe bevoegd is, en statistieken te rapporteren. Ontvangers uit de publieke sector moeten geregistreerd zijn in ELMA, het centrale SMP dat door Digdir wordt beheerd. Meer hierover in ons artikel over ELMA.

Oman hanteert een eigen accreditatieprocedure voor aanbieders van de Fawtara-dienst, zoals beschreven op onze pagina over e-facturering in Oman.

De Australian Taxation Office (ATO) is de Peppol-autoriteit in Australië en accrediteert toegangspunten en SMP’s. Aanvragers ondertekenen de Peppol-dienstverlenersovereenkomst en doorlopen een due diligence-proces, waaronder een controle van het strafblad en een beroepsaansprakelijkheidsverzekering van ten minste 1 miljoen AUD per schadegeval. Ze vullen de A-NZ eInvoicing-beveiligingsvragenlijst in, als zelfbeoordeling of met een onafhankelijke audit volgens ISO/IEC 27001 of het Australische of Nieuw-Zeelandse Information Security Manual (ISM), en slagen voor het Peppol-testbed, inclusief de PINT A-NZ-interoperabiliteitstests. De accreditatie wordt jaarlijks herzien (ATO-accreditatieproces). Lees meer over PINT A-NZ.

De Peppol-autoriteit van Nieuw-Zeeland maakt deel uit van het Ministerie van Bedrijfsleven, Innovatie en Werkgelegenheid (MBIE). Australië en Nieuw-Zeeland hebben hun accreditatieprocedures op elkaar afgestemd: een in Australië geaccrediteerde aanbieder kan bij de Nieuw-Zeelandse Peppol-autoriteit een aanvraag indienen voor wederzijdse accreditatie. Beide landen maken gebruik van PINT A-NZ.

In Singapore mogen alleen door de IMDA geaccrediteerde Access Point-aanbieders actief zijn op het InvoiceNow-netwerk, en zij zijn gebonden aan de Peppol-vereisten van de IMDA zelf. De belastingdienst IRAS voert de GST InvoiceNow-verplichting voor GST-geregistreerde bedrijven stapsgewijs in: vanaf 1 april 2026 geldt dit voor nieuwe vrijwillige registranten, vervolgens vanaf 1 april 2028 voor bestaande bedrijven op basis van omzet, totdat op 1 april 2031 alle bedrijven hieronder vallen. Een kopie van de factuurgegevens wordt via het netwerk naar IRAS verzonden (IRAS FAQ, september 2026). Lees meer over PINT SG.

Zelf bouwen is een goede keuze als:

Een gehoste access point is geschikt wanneer:

Embedded Peppol is geschikt wanneer: