eIDAS 2.0 en FIDO2 zijn niet hetzelfde, en ze zijn geen concurrenten. eIDAS 2.0 is het Europese regelgevingskader dat bepaalt hoe digitale identiteit wordt beheerd, geverifieerd en vertrouwd binnen de EU. FIDO2 is een open authenticatiestandaard die bepaalt hoe gebruikers veilig kunnen inloggen zonder wachtwoorden. De twee opereren op verschillende lagen van de identiteitsstack en kunnen samen worden ingezet. Dit artikel bespreekt de belangrijkste verschillen, de hiaten die elk van hen opvult, en wat dat in de praktijk betekent voor jouw organisatie.
Kunnen eIDAS 2.0 en FIDO2 samen worden gebruikt?
Ja, eIDAS 2.0 en FIDO2 kunnen samen worden gebruikt, en in veel praktijksituaties vullen ze elkaar goed aan. eIDAS 2.0 definieert de wettelijke vereisten voor identiteitszekerheid en vertrouwen, terwijl FIDO2 een sterk, gebruiksvriendelijk authenticatiemechanisme biedt dat binnen dat kader kan functioneren. Samen gebruiken betekent het combineren van regelgevingsconformiteit met een soepele, wachtwoordloze inlogervaring.
eIDAS 2.0 stelt de regels vast voor wie iemand is en hoe die identiteit moet worden geverifieerd en vertrouwd. FIDO2 bepaalt hoe die persoon zich authenticeert bij het gebruik van een dienst. Dit zijn gerelateerde maar afzonderlijke vraagstukken. Een gebruiker kan zijn identiteit laten verifiëren en opslaan in een EUDI-wallet onder eIDAS 2.0, en vervolgens een op FIDO2 gebaseerde authenticator gebruiken om die walletattestatie te ontgrendelen en te presenteren aan een relying party.
In de praktijk kijken organisaties die conforme digitale identiteitsstromen bouwen steeds vaker naar FIDO2 als de authenticatielaag die naast een eIDAS 2.0-conform identiteitsproces functioneert. De twee standaarden conflicteren niet. Ze lossen elk een ander stuk van het vraagstuk op, en het combineren ervan kan resulteren in een systeem dat zowel wettelijk conform als gebruiksvriendelijk is.
Welke problemen lost eIDAS 2.0 op die FIDO2 niet oplost?
eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, lost regelgevende, juridische en grensoverschrijdende identiteitserkennigsproblemen op die FIDO2 nooit was ontworpen om aan te pakken. Waar FIDO2 zich richt op de authenticatiegebeurtenis zelf, regelt eIDAS 2.0 de volledige identiteitslevenscyclus: hoe identiteitsgegevens worden geverifieerd, welk zekerheidsniveau ze dragen, hoe ze grensoverschrijdend kunnen worden gedeeld, en welk juridisch gewicht ze hebben in verschillende contexten.
eIDAS 2.0 introduceert mogelijkheden en verplichtingen die ver buiten authenticatie gaan:
- Juridische erkenning in alle EU-lidstaten: Een identiteit die is geverifieerd onder eIDAS 2.0 moet worden geaccepteerd door publieke en private diensten in de hele EU. FIDO2 heeft geen dergelijke juridische status.
- Verifieerbare attestaties en de EUDI-wallet: eIDAS 2.0 introduceert de EUDI-wallet, waarmee burgers geverifieerde attributen zoals diploma’s, rijbewijzen of beroepskwalificaties kunnen opslaan en via selective disclosure kunnen delen.
- Gekwalificeerde vertrouwensdiensten: eIDAS 2.0 regelt gekwalificeerde elektronische handtekeningen, gekwalificeerde certificaten en andere trust services. Een gekwalificeerde elektronische handtekening heeft op grond van artikel 25, lid 2, van de verordening dezelfde rechtskracht als een handgeschreven handtekening.
- Dataminimalisatie en selective disclosure: Het EUDI-walletkader vereist dat gebruikers alleen de specifieke attributen kunnen delen die een dienst nodig heeft, zonder onnodige persoonsgegevens bloot te stellen.
- Verplichtingen voor specifieke private partijen: Onder artikel 5f van eIDAS 2.0 zijn bepaalde gereguleerde private partijen, zoals banken, zorginstellingen en zeer grote onlineplatforms, verplicht om EUDI-walletattestaties te accepteren. FIDO2 legt geen dergelijke verplichtingen op aan relying parties.
Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg zijn deze regelgevingsdimensies niet optioneel. FIDO2 alleen kan niet voldoen aan de eIDAS 2.0-nalevingsvereisten, omdat het de juridische erkenning van identiteit, de zekerheid van het onderliggende identiteitsverificatieproces of de overdraagbaarheid van geverifieerde attestaties niet adresseert.
Wat dekt FIDO2 dat buiten eIDAS 2.0 valt?
FIDO2 dekt de technische mechanismen van sterke, wachtwoordloze authenticatie op een manier die eIDAS 2.0 niet specificeert. eIDAS 2.0 definieert welke resultaten moeten worden bereikt op het gebied van identiteitszekerheid, maar laat de keuze van authenticatietechnologie grotendeels open. FIDO2 vult die leemte met een concreet, breed ondersteund en apparaatgebonden authenticatieprotocol.
FIDO2 is gebouwd op twee kerncomponenten: de WebAuthn-standaard en het CTAP-protocol. Samen stellen ze gebruikers in staat zich te authenticeren met behulp van biometrie, hardware beveiligingssleutels of apparaat-PIN’s, zonder wachtwoorden of gedeelde geheimen via een netwerk te verzenden. Dit maakt FIDO2 zeer bestand tegen phishing, credential stuffing en man-in-the-middle-aanvallen.
Belangrijke gebieden waar FIDO2 waarde toevoegt buiten wat eIDAS 2.0 voorschrijft:
- Wachtwoordloos inloggen voor consumenten- en zakelijke toepassingen: FIDO2 maakt een soepele, veilige inlogervaring mogelijk die werkt in verschillende browsers en besturingssystemen zonder dat een regelgevingskader nodig is.
- Apparaatgebonden credentialbeveiliging: Privésleutels verlaten nooit het apparaat van de gebruiker, wat het aanvalsoppervlak aanzienlijk verkleint in vergelijking met traditionele authenticatiemethoden.
- Wereldwijde toepasbaarheid: FIDO2 is niet beperkt tot de EU of gereguleerde sectoren. Het wordt wereldwijd gebruikt door organisaties in alle sectoren, ongeacht of eIDAS 2.0 op hen van toepassing is.
- Snelle implementatie: FIDO2 kan relatief snel worden geïmplementeerd met behulp van bestaande standaarden en brede platformondersteuning, zonder de noodzaak om te integreren in een nationaal identiteitsschema of vertrouwenskader.
Voor organisaties die sterke authenticatie nodig hebben maar nog niet onderworpen zijn aan eIDAS 2.0-verplichtingen, biedt FIDO2 een praktische en bewezen oplossing. Het is ook een sterke kandidaat als authenticatiemechanisme binnen eIDAS 2.0-conforme stromen, met name voor het ontgrendelen van EUDI-walletattestaties op een mobiel apparaat.
Welke zekerheidsniveaus zijn van toepassing op eIDAS 2.0 en FIDO2?
eIDAS 2.0 definieert drie formele zekerheidsniveaus: Laag, Substantieel en Hoog. Deze niveaus beschrijven hoe zeker een relying party kan zijn dat de identiteit van een persoon correct is geverifieerd en dat de authenticatiegebeurtenis authentiek is. FIDO2 definieert geen eigen zekerheidsniveaus, maar afhankelijk van de implementatie kan het authenticatie op Substantieel of Hoog niveau ondersteunen binnen een eIDAS 2.0-conform systeem.
Onder eIDAS 2.0 wordt het zekerheidsniveau bepaald door het volledige identiteitsverificatie- en authenticatieproces, niet alleen door het authenticatiemechanisme op zichzelf. Dit betekent dat een FIDO2-authenticator die wordt gebruikt in combinatie met een correct geverifieerde identiteit en een conforme wallet kan bijdragen aan een claim op het niveau Hoog, mits de onderliggende identiteitsverificatie voldoet aan de vereiste standaard.
FIDO2 op zichzelf garandeert geen bepaald eIDAS-zekerheidsniveau. Een FIDO2-login die wordt ondersteund door een zwakke of niet-geverifieerde identiteit is niet gelijkwaardig aan een claim op niveau Hoog. Het zekerheidsniveau hangt af van de sterkte van de initiële identiteitsverificatie, de koppeling tussen de attestatie en de geverifieerde identiteit, en de beveiliging van het authenticatieproces als geheel.
Voor organisaties in overheidsdiensten of andere sectoren waar het niveau Hoog wettelijk verplicht is, is dit onderscheid van groot belang. Het kiezen van FIDO2 als authenticatielaag is een goede technische beslissing, maar het moet worden gecombineerd met een conform identiteitsverificatieproces om te voldoen aan de eIDAS 2.0-zekerheidsvereisten.
Welk kader moeten organisaties in 2026 prioriteren?
Organisaties die actief zijn in de EU doen er verstandig aan eIDAS 2.0-naleving als primair strategisch kader te behandelen, terwijl ze FIDO2 inzetten als aanvullende authenticatietechnologie. eIDAS 2.0 is een wettelijke verplichting voor veel organisaties, terwijl FIDO2 een technische keuze is. Regelgevingsvereisten stellen de minimumstandaard; authenticatiestandaarden helpen je daarop voort te bouwen.
Op 24 december 2026 moet iedere EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Vanaf die datum zijn publieke instanties en publieke dienstverleners verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen geldt op grond van artikel 5f een afzonderlijke acceptatieplicht vanaf 24 december 2027. Die verplichting geldt voor banken en financiële dienstverleners, zorginstellingen, telecombedrijven, energiebedrijven, transportbedrijven, onderwijsinstellingen, sociale zekerheidsorganisaties, drinkwaterbedrijven, postdienstverleners, aanbieders van digitale infrastructuur en aanbieders van digitale diensten, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn van de private acceptatieplicht uitgezonderd. De periode tot 24 december 2026 biedt gereguleerde private partijen de gelegenheid om wallet-acceptatie voor te bereiden en te testen voordat hun eigen deadline ingaat. Organisaties die wachten, lopen het risico achter te raken op het gebied van onboardingefficiëntie, grensoverschrijdende dienstverlening en klantvertrouwen.
FIDO2 blijft zeer relevant als praktische implementatiekeuze. Wanneer organisaties hun authenticatie-infrastructuur bouwen of bijwerken, sluit het adopteren van FIDO2 goed aan bij de beveiligingsverwachtingen die zijn ingebed in eIDAS 2.0 en positioneert het hen om op wallet gebaseerde authenticatiestromen te ondersteunen naarmate die gebruikelijker worden.
Een verstandige aanpak voor de meeste organisaties is:
- Breng jouw huidige identiteits- en authenticatieprocessen in kaart aan de hand van eIDAS 2.0-vereisten
- Identificeer waar FIDO2 zwakkere authenticatiemethoden kan vervangen en de gebruikerservaring kan verbeteren
- Plan voor EUDI-walletintegratie in klantgerichte stromen, met name voor onboarding en verificatie
- Houd rekening met de registratieplicht onder CIR (EU) 2025/848 van 6 mei 2025: een relying party moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, per intended use met opgave van de attributen en attestaties die worden opgevraagd, voordat walletdata kan worden opgevraagd
De twee kaders staan niet in concurrentie. Organisaties die begrijpen hoe eIDAS 2.0 en FIDO2 samen passen, zijn beter gepositioneerd om een identiteitsinfrastructuur te bouwen die zowel conform als gebruiksvriendelijk is. Voor praktische begeleiding over hoe je dit kunt aanpakken, helpt het om te beginnen met een duidelijk beeld van jouw huidige situatie en wat elke regelgeving vereist voor jouw specifieke sector.
Hoe de ID Connector van TrustTech de afstemming van eIDAS 2.0 en FIDO2 ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector de volgende technische taken die relevant zijn voor organisaties die eIDAS 2.0 en FIDO2 willen combineren:
- Verificatie tegen nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat de handtekening van de uitgever van een attestatie betrouwbaar kan worden gevalideerd
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, als aanvulling op handtekeningverificatie
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde intended use onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata in klantgerichte stromen, waardoor onboarding efficiënter wordt zonder opnieuw te verifiëren wat al is vastgesteld
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij een qualified trust service provider
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die voor 24 december 2026 of 24 december 2027 moeten kunnen aantonen dat zij genotificeerde EUDI-wallets kunnen accepteren en verwerken.
Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw identiteitsinfrastructuur.