Er bestaan nogal wat misvattingen over eIDAS 2.0, en die vertragen organisaties die zich eigenlijk al zouden moeten voorbereiden. De meest voorkomende zijn de overtuiging dat eIDAS 2.0 alleen overheden treft, dat de EUDI-wallet verplicht is voor alle burgers, en dat compliance betekent dat alles van de grond af opnieuw opgebouwd moet worden. Geen van deze klopt. Dit artikel bespreekt de zes meest misverstane aspecten van eIDAS 2.0 en het Europees digitale identiteitskader, zodat je door de ruis heen kunt kijken en je kunt richten op wat er werkelijk toe doet voor jouw organisatie.
Geldt eIDAS 2.0 alleen voor overheidsorganisaties?
Nee, eIDAS 2.0 gaat uitdrukkelijk verder dan de publieke sector. In tegenstelling tot de oorspronkelijke eIDAS-verordening, die zich voornamelijk richtte op grensoverschrijdende erkenning van nationale elektronische identiteitssystemen tussen lidstaten, opent Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, het kader ook voor private organisaties. Als jouw organisatie actief is in de bankensector, gezondheidszorg, telecommunicatie of een andere gereguleerde sector, is eIDAS 2.0 rechtstreeks op jou van toepassing.
De EUDI-wallet is ontworpen om geaccepteerd te worden door zowel overheidsinstanties als private dienstverleners. Gereguleerde private organisaties die wettelijk verplicht zijn identiteit te verifiëren in het kader van sterke gebruikersauthenticatie, zoals banken die klantenonderzoek uitvoeren of zorgverleners die patiënttoegang beheren, moeten in staat zijn om op de wallet gebaseerde attestaties te accepteren. De acceptatieplicht voor de betreffende gereguleerde private partijen treedt in werking op 24 december 2027, twaalf maanden na de deadline voor walletuitgifte en publieke acceptatie. De verordening schept nieuwe verplichtingen en kansen voor private bedrijven om deel te nemen aan het bredere digitale identiteitsecosysteem.
Voor sectoren zoals financiële dienstverlening en gezondheidszorg is eIDAS 2.0 geen ver-van-mijn-bedproject van de overheid. Het is een regulatoire verschuiving die rechtstreeks van invloed is op hoe je klanten onboardt, identiteit verifieert en vertrouwde gegevens grensoverschrijdend uitwisselt.
Is de EUDI-wallet verplicht voor alle burgers?
Nee, het gebruik van de EUDI-wallet is niet verplicht voor burgers. Wat wel verplicht is, is dat elke EU-lidstaat de wallet uiterlijk op 24 december 2026 beschikbaar moet stellen aan alle burgers, inwoners en bedrijven. Het onderscheid is belangrijk: overheden zijn verplicht de wallet aan te bieden, maar individuen zijn vrij om te kiezen of ze er gebruik van maken. Artikel 5a van de verordening beschermt gebruikers bovendien uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken.
Het ontwerpprincipe achter de wallet is gebruikerscontrole en vrijwillige adoptie. Burgers kunnen digitale attestaties opslaan, zoals rijbewijzen, opleidingscertificaten, e-recepten en door de overheid uitgegeven identiteitsgegevens, in één beveiligde wallet instance. Zij bepalen wat ze delen, met wie en wanneer. Er wordt niets gedeeld zonder hun uitdrukkelijke goedkeuring, en gebruikers kunnen via selective disclosure alleen de minimaal noodzakelijke informatie vrijgeven, bijvoorbeeld het bevestigen van hun leeftijd zonder hun volledige geboortedatum te onthullen.
Dit vrijwillige karakter is vanuit privacyperspectief een van de sterke punten van de wallet. Het vermijdt de creatie van een verplicht digitaal identiteitssysteem, terwijl toch de infrastructuur wordt opgebouwd die iedereen die er gebruik van wil maken in staat stelt dit veilig te doen in alle EU-lidstaten. Belangrijk daarbij is dat goedkeuring van een gegevensverzoek in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Vervangt eIDAS 2.0 alle bestaande nationale eID-systemen?
Nee, Verordening (EU) 2024/1183 wijzigt de oorspronkelijke eIDAS-verordening en vervangt bestaande nationale eID-systemen niet. Nationale stelsels zoals DigiD in Nederland, BankID in Scandinavië of ID Austria blijven bestaan. Wat Verordening (EU) 2024/1183 doet, is een gemeenschappelijke laag bouwen bovenop deze nationale systemen, zodat ze grensoverschrijdend kunnen samenwerken en aansluiten op het kader van de EUDI-wallet.
De oorspronkelijke eIDAS-verordening stond lidstaten al toe om elkaars nationale eID-stelsels te notificeren en wederzijds te erkennen. Het probleem was dat deelname optioneel was, wat leidde tot aanzienlijke inconsistentie in Europa. Sommige landen hadden volwassen, veelgebruikte digitale identiteitssystemen, terwijl andere weinig of geen genotificeerde stelsels hadden.
eIDAS 2.0 pakt dit aan door het voor elke lidstaat verplicht te maken een wallet aan te bieden die aansluit op hun nationale identiteitsinfrastructuur. Dit betekent niet dat alles opnieuw begint. Bestaande nationale systemen voeden de walletarchitectuur. De wallet wordt in wezen een draagbare laag waarmee gebruikers vertrouwde attestaties uit hun thuisland kunnen meenemen en presenteren bij het afnemen van diensten elders in de EU. Nationale systemen evolueren in plaats van te verdwijnen.
Zijn attestaties en de EUDI-wallet hetzelfde?
Nee, attestaties en de EUDI-wallet zijn niet hetzelfde, hoewel ze nauw verwant zijn. Een attestatie is een digitale verklaring over een persoon of entiteit, opgesteld in een gestandaardiseerd formaat dat cryptografisch geverifieerd kan worden. De EUDI-wallet is de applicatie, de wallet solution en de bijbehorende wallet unit, die deze attestaties opslaat en presenteert.
Concreet: een attestatie is het formaat waarin jouw diploma, rijbewijs of identiteitsgegevens worden gecodeerd, bijvoorbeeld als mdoc conform ISO/IEC 18013-5 of als SD-JWT VC. De EUDI-wallet is de beveiligde omgeving op jouw toestel, de wallet instance samen met de cryptografische componenten van de wallet unit, die deze attestaties bewaart en je in staat stelt ze via selective disclosure te delen met een relying party. De een is de standaard, de ander is de gecertificeerde omgeving die op die standaard is gebouwd.
Binnen attestaties maakt eIDAS 2.0 verder onderscheid tussen gekwalificeerde elektronische attestaties van attributen (QEAA), door publieke instanties uitgegeven elektronische attestaties van attributen (PuB-EAA) en niet-gekwalificeerde EAA’s. PuB-EAA valt in een eigen categorie en mag niet worden beschouwd als een vorm van niet-gekwalificeerde EAA. Deze categorieën hebben verschillende juridische statussen en vereisen verschillende uitgevers. Dit onderscheid begrijpen is belangrijk voor organisaties die digitale identiteitssystemen bouwen of daarmee integreren. Het Architecture and Reference Framework (ARF), ontwikkeld door de eIDAS Expert Group, definieert hoe deze componenten samenwerken en bevat de technische uitwerking, terwijl de uitvoeringshandelingen juridisch bindend zijn. De eerste vier Large Scale Pilots, die liepen van april 2023 tot 2025, hebben dit samenspel getest in realistische scenario’s in meerdere lidstaten.
Is eIDAS 2.0 pas relevant als het volledig wordt gehandhaafd?
Nee, wachten op volledige handhaving voordat je actie onderneemt is een van de kostbaarste fouten die een organisatie kan maken. eIDAS 2.0 heeft nu al invloed op aanbestedingsbeslissingen, technologie-investeringen en compliance-roadmaps in heel Europa. Organisaties die het behandelen als een toekomstige zorg, lopen al achter op degenen die zich nu al voorbereiden.
Er zijn verschillende concrete redenen om te handelen voordat de handhavingstermijnen verstrijken:
- Integratie kost tijd. Jouw bestaande systemen verbinden met op wallet gebaseerde identiteitsstromen, attestaties en vertrouwensdienstverleners is geen snel project. Vroeg beginnen geeft je de ruimte om te testen, te itereren en het goed te doen.
- Registratie als relying party onder CIR (EU) 2025/848 van 6 mei 2025 is een vereiste voordat walletdata kan worden opgevraagd. Bij die registratie leg je per intended use vast welke attributen en attestaties je opvraagt. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd.
- Regulatoire overlap is reëel. eIDAS 2.0 raakt aan AML-, KYC-, AVG- en PSD2-vereisten. Organisaties die hun complianceprogramma’s vroeg afstemmen, vermijden de kosten van achteraf aanpassen. Hergebruik van KYC-data wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0.
- De eerste vijf kernuitvoeringshandelingen zijn eind 2024 aangenomen. Dit materiaal is openbaar beschikbaar en geeft vroege starters een aanzienlijke voorsprong bij technische voorbereiding.
Op 24 december 2026 moeten lidstaten hun walletinfrastructuur operationeel hebben en moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027. Voor zeer grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de acceptatieplicht uitgezonderd. Vroege voorbereiding gaat er niet om operationeel klaar te zijn omwille van het vooroplopen zelf. Het gaat erom klaar te zijn wanneer jouw klanten en partners wallet-compatibele interacties beginnen te verwachten.
Betekent eIDAS 2.0-compliance dat je van nul af aan moet beginnen?
Nee, eIDAS 2.0-compliance vereist niet dat organisaties hun bestaande identiteitsinfrastructuur weggooien en helemaal opnieuw opbouwen. In de meeste gevallen is het doel om wat je al hebt uit te breiden en te verbinden. Bestaande identiteitsverificatiestromen, integraties met vertrouwensdiensten en complianceprocessen kunnen vaak worden aangepast in plaats van volledig herbouwd.
De belangrijkste verschuiving die eIDAS 2.0 introduceert is interoperabiliteit en herbruikbaarheid. Het nieuwe kader maakt het mogelijk dat geverifieerde identiteitsgegevens worden hergebruikt tussen organisaties en over grenzen heen. Een klant die al geverifieerd is door zijn bank of overheid kan die geverifieerde status meenemen naar jouw platform zonder het hele proces opnieuw te doorlopen. Dit vermindert wrijving, verlaagt kosten en verbetert de gebruikerservaring. Daarbij geldt wel dat hergebruik van KYC-data mede afhankelijk is van de toepasselijke AML-regelgeving en sectorale verplichtingen: eIDAS 2.0 regelt de identiteitslaag, niet automatisch de volledige compliance-keten.
Voor organisaties die al werken met gekwalificeerde vertrouwensdienstverleners, elektronische handtekeningen of bestaande eID-integraties, is de weg vooruit grotendeels een kwestie van afstemming en uitbreiding. Je beoordeelt wat je hebt, identificeert de hiaten ten opzichte van de eIDAS 2.0-vereisten en werkt op een gestructureerde manier toe naar walletgereedheid. Dat is een heel andere opgave dan helemaal opnieuw beginnen. Een relying party heeft daarvoor geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt pas relevant wanneer je gekwalificeerde attestaties uitgeeft of gekwalificeerd elektronisch tekenen wilt aanbieden.
Hoe de ID Connector van TrustTech organisaties ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. De ID Connector ondersteunt de technische taken die bij walletacceptatie komen kijken:
- Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
- Controle van intrekkingsstatus: Per gepresenteerde attestatie wordt de intrekkingsstatus gecontroleerd via de statusinformatie van de uitgever.
- Validatie van de wallet unit attestation: De ID Connector verifieert of de presenterende wallet draait op een gecertificeerde wallet solution, een controle die niet kan worden gereduceerd tot alleen handtekeningverificatie.
- Bewaking van de geregistreerde attributenscope: Verzoeken worden getoetst aan de attributen en attestaties die zijn vastgelegd bij de registratie onder CIR (EU) 2025/848, zodat je buiten scope geen data opvraagt.
- Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitsgegevens kunnen worden hergebruikt bij vervolginteracties, wat wrijving in onboarding en authenticatie vermindert.
- Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector koppelt identiteit aan gekwalificeerde elektronische handtekeningen in jouw workflows via een aangesloten gekwalificeerde vertrouwensdienstverlener, met een volledig auditspoor.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die onder de acceptatieplicht vallen of zich daar proactief op voorbereiden. Als jouw organisatie klaar is om van onzekerheid naar een duidelijk implementatiepad te gaan, neem dan contact op met ons team en wij helpen je de volgende stap te zetten.