Een wallet provider en een issuer zijn twee afzonderlijke rollen binnen het eIDAS 2.0-ecosysteem. De wallet provider ontwikkelt en beheert de wallet solution die gebruikers als wallet instance op hun apparaten installeren. De issuer is de organisatie die attestaties aanmaakt, cryptografisch ondertekent en aflevert in die wallet. Dit onderscheid is relevant voor elke organisatie die bepaalt hoe zij zich wil positioneren binnen het kader van Verordening (EU) 2024/1183, waarmee eIDAS 2.0 Verordening (EU) 910/2014 wijzigt.
Beide rollen zijn noodzakelijk voor het functioneren van het EUDI-wallet-ecosysteem, maar ze brengen verschillende technische vereisten, juridische verplichtingen en operationele verantwoordelijkheden met zich mee. De onderstaande secties beschrijven elke rol, hoe ze met elkaar samenwerken en wat dit betekent voor jouw organisatie in aanloop naar de deadline van 24 december 2026.
Wat doet een wallet provider precies binnen eIDAS 2.0?
Een wallet provider is de organisatie die verantwoordelijk is voor het ontwikkelen, distribueren en onderhouden van de wallet solution: het gecertificeerde product dat eindgebruikers als wallet instance op hun apparaten installeren. Samen met de bijbehorende beveiligde cryptografische componenten vormt dit de wallet unit. Onder Verordening (EU) 2024/1183 moeten wallet providers voldoen aan certificeringsvereisten die zijn vastgesteld door de Europese Commissie en de relevante nationale toezichthoudende instanties, voordat hun wallet solution officieel erkend kan worden in de EU-lidstaten.
In de praktijk beheert de wallet provider alles wat verband houdt met de wallet solution als beveiligde omgeving. Dit omvat:
- Het ontwikkelen en onderhouden van de wallet solution, inclusief de wallet instance die de gebruiker installeert
- Ervoor zorgen dat de wallet solution voldoet aan de technische specificaties van het Architecture and Reference Framework (ARF)
- Het beheren van de beveiligde opslag van attestaties binnen de wallet unit van de gebruiker
- Gebruikers in staat stellen attestaties te presenteren aan relying parties via selective disclosure
- Het beschermen van de privacy van gebruikers, zodat gebruikers alleen de gegevens delen die voor een specifieke transactie noodzakelijk zijn
- Het verkrijgen en behouden van officiële walletcertificering
Wallet providers kunnen overheden, publieke instanties of private bedrijven zijn, mits zij officieel erkend zijn door hun lidstaat. Elke EU-lidstaat is op grond van artikel 5a van de verordening verplicht om uiterlijk op 24 december 2026 ten minste één gecertificeerde EUDI-wallet beschikbaar te stellen aan burgers, inwoners en bedrijven. De wallet solution bevat bij uitgifte geen identiteitsgegevens. De wallet unit is een beveiligde omgeving totdat een issuer er attestaties in aflevert.
Wat is de rol van een issuer onder eIDAS 2.0?
Een issuer is de organisatie die attestaties aanmaakt en verstrekt aan de wallet unit van een gebruiker. Deze attestaties zijn cryptografisch ondertekende digitale documenten die iets bewijzen over de houder, zoals diens nationaliteit, leeftijd, beroepskwalificatie of bankrelatie. De issuer draagt verantwoordelijkheid voor de juistheid van de gegevens die in een attestatie worden opgenomen.
Issuers zijn afkomstig uit veel verschillende sectoren. Een overheidsinstantie kan een Person Identification Data-attestatie of een rijbewijs uitgeven. Een bank kan een attestatie uitgeven die bevestigt dat de identiteit van een klant is geverifieerd conform KYC-vereisten. Een universiteit kan een diplomaattestation uitgeven. Een zorgautoriteit kan een recept of een attestatie voor beroepsregistratie afgeven.
Attestaties vallen onder verschillende kwaliteitsniveaus. Een Qualified Electronic Attestation of Attributes (QEAA) wordt uitgegeven door een qualified trust service provider en biedt het hoogste niveau van juridische zekerheid. Een Public Body-issued EAA (PuB-EAA) wordt uitgegeven door of namens een overheidsinstantie en heeft een eigen juridische status binnen de verordening. Daarnaast bestaan non-qualified EAA’s, die niet onder het gekwalificeerde regime vallen maar wel bruikbaar zijn binnen het ecosysteem.
Om als issuer te kunnen optreden, moet een organisatie aantoonbaar zijn opgenomen in de relevante nationale trusted list of een vergelijkbaar vertrouwensmechanisme, zodat relying parties de herkomst en authenticiteit van de attestatie kunnen verifiëren. De nationale trusted lists worden samengebracht in de EU List of Trusted Lists (LOTL). De attestatie is gestructureerd conform de technische standaarden in het ARF, in de formaten mdoc of SD-JWT VC, en wordt uitgegeven via het OID4VCI-protocol.
Volledige verificatie van een attestatie vereist drie afzonderlijke controles: verificatie van de handtekening van de issuer tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de issuer, en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Verificatie zonder enig contact met de issuer is daarom niet in alle gevallen mogelijk.
Issuers in gereguleerde sectoren zoals financiën, overheid en gezondheidszorg zijn goed gepositioneerd om hoogwaardige attestaties uit te geven, omdat zij al geverifieerde identiteits- en kwalificatiegegevens bezitten over hun klanten of burgers.
Hoe werken wallet providers en issuers in de praktijk samen?
Wallet providers en issuers werken samen via een gestandaardiseerde attestatie-uitgiftestroom op basis van het OID4VCI-protocol. De gebruiker vraagt een attestatie aan bij een issuer, de issuer authenticeert de gebruiker, maakt de ondertekende attestatie aan en levert deze af in de wallet unit van de gebruiker. Vanaf dat moment beschikt de gebruiker over de attestatie en kan deze worden gepresenteerd aan een relying party via OID4VP.
Hier volgt hoe het proces doorgaans stap voor stap verloopt:
- De gebruiker opent zijn gecertificeerde EUDI-wallet en vraagt een attestatie aan bij een issuer, bijvoorbeeld een overheidsportaal of een bank.
- De issuer authenticeert de gebruiker via een bestaande geverifieerde identiteit, zoals een nationale eID of een eerder uitgevoerde KYC-controle.
- De issuer genereert de attestatie in mdoc- of SD-JWT VC-formaat, ondertekent deze cryptografisch en levert deze via OID4VCI af in de wallet unit van de gebruiker.
- De wallet unit slaat de attestatie veilig op binnen de beveiligde cryptografische omgeving van het apparaat van de gebruiker.
- Wanneer de gebruiker iets moet bewijzen aan een dienst, presenteert hij de relevante attestatie vanuit zijn wallet via OID4VP, waarbij selective disclosure bepaalt welke attributen worden gedeeld.
- De relying party voert drie afzonderlijke controles uit: verificatie van de handtekening van de issuer tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de issuer, en verificatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
Deze scheiding van rollen is bewust. De issuer is niet betrokken bij elke transactie, wat de privacy van de gebruiker beschermt en de operationele last voor de issuer beperkt. De wallet provider zorgt voor de beveiligde verwerking van attestaties binnen de wallet unit. Geen van beide partijen ziet wat de gebruiker na uitgifte met zijn attestaties doet. Privésleutels kunnen de wallet unit niet verlaten: bij een nieuw apparaat worden attestaties opnieuw uitgegeven in plaats van gekopieerd.
Kan dezelfde organisatie zowel wallet provider als issuer zijn?
Ja, dezelfde organisatie kan beide rollen tegelijkertijd vervullen, maar alleen als zij afzonderlijk voldoet aan de vereisten voor elke rol. Gecertificeerd zijn als wallet provider kwalificeert een organisatie niet automatisch om als issuer op te treden, en vice versa. Elke rol brengt zijn eigen technische, juridische en operationele verplichtingen met zich mee onder Verordening (EU) 2024/1183.
In de praktijk zijn sommige overheidsinstanties gepositioneerd om beide rollen te vervullen. Een nationale overheid kan de officiële wallet solution voor haar burgers beheren en tegelijkertijd door de overheid ondersteunde attestaties uitgeven, zoals PuB-EAA’s voor nationale identiteitsdocumenten of rijbewijzen. Een grote financiële instelling zou theoretisch een erkende wallet solution kunnen beheren en KYC-attestaties kunnen uitgeven, maar dit vereist aanzienlijke investeringen in certificering voor beide rollen afzonderlijk.
Voor de meeste organisaties is het gelijktijdig op zich nemen van beide rollen niet de meest voor de hand liggende keuze. De gangbare aanpak is focussen op de rol die aansluit bij bestaande capaciteiten en de regelgevingspositie. Een overheidsinstantie met bestaande eID-infrastructuur is een natuurlijke issuer. Een technologiebedrijf met ervaring in beveiligde mobiele applicaties kan walletprovidercertificering nastreven.
Welke rol is het meest relevant voor jouw organisatie?
De meest relevante rol hangt af van het type gegevens dat jouw organisatie bezit, jouw regelgevingspositie en jouw relatie met eindgebruikers. Organisaties die geverifieerde, hoogwaardige gegevens over individuen bezitten, zijn natuurlijke kandidaten voor de issuer-rol. Organisaties die beveiligde digitale infrastructuur of mobiele platforms ontwikkelen, zijn mogelijk beter gepositioneerd voor het pad van de wallet provider.
Een aantal vragen helpt te verduidelijken welke rol het beste past:
- Verifieer je al identiteiten of beschik je over vertrouwde gegevens over individuen? Dan is de issuer-rol waarschijnlijk de meest logische keuze. Banken, verzekeraars, overheidsinstanties, zorgverleners en onderwijsinstellingen vallen allemaal in deze categorie.
- Ontwikkel of beheer je op grote schaal beveiligde digitale applicaties? Als je daarnaast de capaciteit hebt voor EU-brede certificeringsprocessen, kan de wallet provider-rol het verkennen waard zijn.
- Ben je primair een dienst die identiteitsgegevens van gebruikers moet accepteren? Dan ben je hoogstwaarschijnlijk een relying party. Relying parties moeten zich op grond van CIR (EU) 2025/848 van 6 mei 2025 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, en per intended use vastleggen welke attributen en attestaties worden opgevraagd, voordat zij walletdata kunnen opvragen. Jouw focus ligt dan op integratie met gecertificeerde wallets, waarbij je iedere relevante genotificeerde wallet moet kunnen accepteren, ongeacht de wallet provider.
Voor organisaties in sectoren zoals overheid, gezondheidszorg of onderwijs biedt de issuer-rol een directe weg naar het verstrekken van herbruikbare, vertrouwde attestaties die wrijving in digitale diensten verminderen.
Veel organisaties zullen geen van beide rollen rechtstreeks op zich nemen. Zij integreren met bestaande wallet solutions en werken samen met gevestigde issuers om attestaties te accepteren als relying party. Dit is een volkomen valide aanpak, met name voor organisaties die eIDAS 2.0-compliant moeten worden zonder identiteitsinfrastructuur vanaf nul op te bouwen. Publieke instanties die onlinediensten aanbieden waarvoor elektronische identificatie vereist is, moeten genotificeerde EUDI-wallets accepteren vanaf 24 december 2026. Voor relevante gereguleerde private sectoren, waaronder financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten, geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027, met uitzondering van micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro. Voor Very Large Online Platforms geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie mogelijk maken waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
Hoe ondersteunt de ID Connector van TrustTech relying parties en issuers
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor relying parties voert de ID Connector de drie verificatiestappen uit die noodzakelijk zijn bij het ontvangen van een attestatie: verificatie van de handtekening van de issuer tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de issuer, en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope: verzoeken buiten de scope die de relying party heeft geregistreerd onder CIR (EU) 2025/848 worden gesignaleerd, zodat de registratiestatus niet in gevaar komt.
Voor organisaties die hergebruik van geverifieerde identiteitsdata willen inzetten voor KYC- en onboardingstromen, ondersteunt de ID Connector het ophalen en verwerken van relevante attributen uit PID-attestaties en QEAA’s. Gekwalificeerd tekenen verloopt via een aangesloten qualified trust service provider: de ID Connector verzorgt de koppeling, de QES zelf komt via die QTSP tot stand.
De ID Connector is relevant voor financiële dienstverleners, zorginstellingen, farmaceutische organisaties en overheidsinstanties die hun dienstverlening willen aansluiten op het EUDI-wallet-ecosysteem zonder de volledige onderliggende infrastructuur zelf te bouwen. Wil je weten wat de ID Connector concreet betekent voor jouw situatie? Neem contact op met TrustTech voor een eerste gesprek.