eIDAS 2.0 wijzigt Verordening (EU) nr. 910/2014 via Verordening (EU) 2024/1183, die op 20 mei 2024 in werking trad. De oorspronkelijke verordening ging vooral over elektronische handtekeningen en de erkenning van nationale eID-stelsels. eIDAS 2.0 voegt daar een Europese digitale identiteitswallet aan toe, met acceptatieplichten voor overheid en grote delen van de private sector. Dit artikel beantwoordt de vragen die organisaties het vaakst stellen over wat dat in de praktijk betekent.
Wat verandert eIDAS 2.0 ten opzichte van de originele eIDAS?
De kern: lidstaten moeten een EUDI-wallet aanbieden, en overheid en gereguleerde private sectoren moeten die accepteren. Onder de eIDAS van 2014 was deelname voor de private sector grotendeels vrijwillig. De verordening werkt rechtstreeks in alle lidstaten; nationale uitvoering regelt de organisatorische en operationele inrichting.
Elke lidstaat moet burgers en inwoners ten minste één gecertificeerde wallet aanbieden. De wallet komt naast bestaande inlogmiddelen zoals DigiD en itsme. Organisaties moeten de wallet als optie aanbieden, gebruikers kiezen zelf of ze die gebruiken. Voor bedrijven loopt een apart voorstel voor een European Business Wallet.
Daarnaast breidt eIDAS 2.0 de gekwalificeerde vertrouwensdiensten uit met:
- gekwalificeerde elektronische attestatie van attributen (QEAA)
- elektronische archivering
- elektronische grootboeken
- beheer van middelen voor het op afstand aanmaken van gekwalificeerde elektronische handtekeningen en zegels
Voor gekwalificeerde verleners van vertrouwensdiensten gelden strengere eisen.
De technische uitwerking staat in bindende uitvoeringshandelingen. De Europese Commissie en de lidstaten werken daarnaast het Architecture and Reference Framework (ARF) uit: een technisch referentiekader voor implementaties, zonder zelfstandige wettelijke status.
Wat is de EUDI-wallet en hoe werkt deze?
De EUDI-wallet is een app waarmee gebruikers hun geverifieerde identiteitsgegevens (PID) en andere attestaties bewaren en delen. De regelgeving onderscheidt drie technische begrippen:
- wallet solution: het gecertificeerde product van de walletprovider
- wallet instance: de app op het toestel van een gebruiker
- wallet unit: de wallet instance samen met de Wallet Secure Cryptographic Application (WSCA) en het Wallet Secure Cryptographic Device (WSCD) waarin de sleutels staan
De privésleutels die aan een PID of attestatie gekoppeld zijn, verlaten het WSCD niet. Bij een nieuw toestel worden PID en attestaties daarom opnieuw uitgegeven.
Welke toepassingen beschikbaar zijn, hangt af van de uitgevers die per land en sector aansluiten. Voorbeelden:
- inloggen en identificeren bij onlinediensten
- ondertekenen met een gekwalificeerde elektronische handtekening
- een mobiel rijbewijs tonen, online en fysiek
- recepten ophalen bij de apotheek
- diploma’s en andere onderwijsattestaties delen
- vertegenwoordigingsbevoegdheid aantonen
- de Europese ziekteverzekeringskaart (EHIC) bewaren
- identiteit bevestigen bij onlinebetalingen
Attestaties gebruiken de formaten mdoc en SD-JWT VC. Uitgifte loopt via OpenID4VCI. Presentatie loopt online via OpenID4VP en fysiek via ISO/IEC 18013-5. Met selective disclosure vraagt een vertrouwende partij alleen de attributen op die ze nodig heeft.
Hoe een vertrouwende partij een presentatie verifieert
Een vertrouwende partij (relying party) controleert bij elke presentatie drie dingen:
- De handtekening van de uitgever, tegen het juiste vertrouwensanker. Voor PID-providers is dat de lijst die de Commissie na notificatie publiceert. Voor gekwalificeerde attestaties (QEAA) is dat de nationale trusted list volgens ETSI TS 119 612, bereikbaar via de EU List of Trusted Lists (LOTL). Voor niet-gekwalificeerde attestaties bepaalt het betreffende vertrouwensstelsel welke uitgevers erkend zijn.
- De intrekkingsstatus, via de statusinformatie van de uitgever.
- De device binding: het bewijs dat de presentatie is ondertekend met de sleutel in het WSCD en bij het verzoek van deze vertrouwende partij hoort.
De wallet unit attestation speelt bij uitgifte. Daarmee toont de wallet aan de PID-provider of attestatie-uitgever aan dat hij op een gecertificeerde wallet solution draait. Wordt een wallet unit ingetrokken, dan trekt de uitgever ook de bijbehorende PID in. De vertrouwende partij ziet dat via de intrekkingsstatus.
Verificatie kan ook offline, bijvoorbeeld bij een fysieke controle van een mobiel rijbewijs. De vertrouwende partij werkt dan met eerder opgehaalde vertrouwenslijsten en statusinformatie.
Tijdlijn
Uiterlijk 24 december 2026 moet elke lidstaat een gecertificeerde wallet beschikbaar stellen. Publieke instanties die voor een onlinedienst elektronische identificatie eisen, moeten ook genotificeerde wallets accepteren. Dit is de deadline voor uitgifte en notificatie. Volledige interoperabiliteit tussen alle nationale wallets groeit daarna verder.
Welke sectoren en organisaties worden het meest beïnvloed door eIDAS 2.0?
Vanaf 24 december 2027 moeten private organisaties in gereguleerde sectoren de EUDI-wallet accepteren waar zij sterke gebruikersauthenticatie toepassen. Artikel 5f, lid 2, noemt transport, energie, bank- en financiële dienstverlening, sociale zekerheid, gezondheid, drinkwater, post, digitale infrastructuur, onderwijs en telecom. De plicht geldt waar sterke authenticatie wettelijk of contractueel vereist is, en op vrijwillig verzoek van de gebruiker.
Voor zeer grote onlineplatforms geldt een aparte bepaling (artikel 5f, lid 3). Het gaat om platforms die onder de Digital Services Act als zeer groot zijn aangewezen, met gemiddeld minstens 45 miljoen maandelijkse actieve afnemers in de EU. Zij moeten de wallet accepteren waar zij gebruikersauthenticatie eisen, op verzoek van de gebruiker en alleen voor de minimaal benodigde gegevens.
Micro- en kleine ondernemingen zijn uitgezonderd: minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen.
In de financiële sector raakt eIDAS 2.0 aan KYC-, AML- en onboardingverplichtingen. Of een bank identiteitsgegevens uit de wallet mag hergebruiken voor klantonderzoek, bepalen ook de AML- en sectorregels. In de zorg maakt de wallet het delen van recepten en beroepsattestaties mogelijk, ook over de grens.
Elke organisatie die gegevens uit een wallet opvraagt, moet zich vooraf als vertrouwende partij registreren bij de nationale registerhouder, op grond van CIR (EU) 2025/848.
Hoe beïnvloedt eIDAS 2.0 grensoverschrijdend digitaal vertrouwen in Europa?
Een attestatie die in de ene lidstaat is uitgegeven, is in elke andere lidstaat met dezelfde technische middelen te verifiëren. Onder de oorspronkelijke eIDAS verliep grensoverschrijdende erkenning van eID-stelsels wisselend en vaak via aanvullende afspraken.
De gemeenschappelijke protocollen, formaten en interfaces liggen vast in uitvoeringshandelingen. Een Spaanse bank of een Nederlands overheidsportaal kan zo de PID uit een Duitse wallet verifiëren. De vertrouwensankers zijn de lijsten van genotificeerde PID- en walletproviders die de Commissie publiceert, en voor gekwalificeerde diensten de nationale trusted lists via de LOTL. Voor het koppelen van identiteiten aan nationale registers (identity matching, artikel 11a) gelden aparte uitvoeringsregels.
Voor organisaties in meerdere Europese markten betekent dit één verificatieproces voor alle landen, met minder dubbel werk en lagere nalevingskosten. Volledige interoperabiliteit tussen alle nationale wallets groeit wel pas na de uitgiftedeadline van 24 december 2026.
Welke nalevingsstappen moeten organisaties nemen om zich voor te bereiden op eIDAS 2.0?
Begin met je rol in het ecosysteem: geef je attestaties uit, verifieer je ze als vertrouwende partij, of allebei? Daaruit volgen de stappen.
- Bepaal je rol. Uitgever van attestaties, vertrouwende partij, verlener van vertrouwensdiensten, of een combinatie.
- Voer een gap-analyse uit. Vergelijk je huidige processen voor identificatie, authenticatie en ondertekening met de eisen van eIDAS 2.0.
- Toets je technische architectuur. Ondersteun de protocollen en formaten uit de uitvoeringshandelingen: OpenID4VCI, OpenID4VP, ISO/IEC 18013-5, mdoc en SD-JWT VC.
- Registreer je als vertrouwende partij. Op grond van artikel 5b en CIR (EU) 2025/848 registreer je je bij de nationale registerhouder voordat je walletdata opvraagt. Per beoogd gebruik (intended use) leg je vast welke attributen je opvraagt. Je mag niet meer vragen dan je hebt geregistreerd. Lidstaten kunnen registratiecertificaten uitgeven, waarmee de wallet een verzoek tegen de registratie toetst. Bij overtreding kan de registratie worden geschorst of ingetrokken.
- Breng intermediairs in kaart. Een partij die namens een vertrouwende partij walletdata opvraagt, geldt volgens artikel 5b, lid 10, zelf ook als vertrouwende partij. Een intermediair mag geen gegevens over de inhoud van transacties opslaan. Ook de koppeling tussen intermediair en vertrouwende partij wordt geregistreerd; CIR (EU) 2026/1730 werkt de eisen daarvoor bij.
- Actualiseer je juridische kaders. Leg dataminimalisatie, selective disclosure en bewijsvoering vast. Akkoord geven in de wallet is geen toestemming als grondslag onder artikel 6, lid 1, onder a, AVG. Als vertrouwende partij heb je een eigen AVG-grondslag nodig.
- Volg de regelgeving. Houd wijzigingen in uitvoeringshandelingen en ARF bij, en neem deel aan pilots en werkgroepen.
Voor organisaties in gereguleerde sectoren loont het om samen te werken met een partner die deze implementatie al eerder heeft gedaan.
Wat zijn de belangrijkste uitdagingen bij de implementatie van eIDAS 2.0?
Drie uitdagingen komen steeds terug: technische integratie, interne afstemming en regelgeving die nog in beweging is.
Technische integratie. Integratie vraagt ondersteuning voor nieuwe protocollen, credentialformaten en vertrouwenslijsten. Veel bestaande identiteitssystemen zijn daar niet voor gebouwd. Wie in meerdere landen actief is, krijgt daarnaast te maken met verschillen tussen nationale wallets.
Interne afstemming. Compliance, IT, legal en business kennen de verordening vaak niet even goed. Een gedeelde roadmap vraagt dat deze teams vroeg samen beslissen over rol, scope en planning.
Regelgeving in beweging. Eind 2024 zijn de eerste vijf uitvoeringshandelingen voor de wallets vastgesteld; zij startten de termijn van 24 maanden tot 24 december 2026. In 2025 volgde een tweede reeks, waaronder CIR (EU) 2025/848 over registratie van vertrouwende partijen, in werking sinds 27 mei 2025. In 2026 worden meerdere van deze handelingen bijgewerkt om aan te sluiten op de doorontwikkelde ARF, zoals CIR (EU) 2026/1730 van 15 juli 2026. Wie nu bouwt, moet rekening houden met die wijzigingen.
Hoe helpt de ID Connector van TrustTech organisaties bij eIDAS 2.0?
Met de ID Connector accepteren vertrouwende partijen elke gecertificeerde Europese wallet, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd ondertekenen. Via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt:
- verificatie van uitgevershandtekeningen tegen de lijsten van genotificeerde PID-providers en de nationale trusted lists via de LOTL
- controle van de intrekkingsstatus via de statusinformatie van de uitgever
- controle van de device binding van elke presentatie
- bewaking van de geregistreerde attributenscope per beoogd gebruik, conform CIR (EU) 2025/848
- gekwalificeerd ondertekenen via een aangesloten gekwalificeerde verlener van vertrouwensdiensten
De ID Connector is bedoeld voor organisaties in financiële dienstverlening, zorg en farmacie, onlineplatforms en overheid die per 24 december 2026 of 24 december 2027 wallets moeten accepteren en correct moeten verifiëren.
Klaar om van de verordening naar implementatie te gaan? Neem dan contact op met TrustTech en zet de volgende stap naar een betrouwbare digitale identiteitsinfrastructuur.