Wat zijn de eIDAS 2.0-verplichtingen voor zeer grote onlineplatforms?

Onder eIDAS 2.0 zijn zeer grote onlineplatformen (VLOPs) verplicht om de Europese Digitale Identiteitswallet te accepteren als middel voor gebruikersauthenticatie. Deze verplichting vloeit voort uit artikel 5f van Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt, en geldt specifiek voor platforms die als VLOP zijn aangewezen op grond van de Europese Digital Services Act. In dit artikel wordt uitgelegd wat deze verplichting juridisch inhoudt, hoe zij technisch werkt binnen het EUDI-wallet-ecosysteem en wat jouw organisatie concreet moet doen.

Welke platforms worden geclassificeerd als zeer grote onlineplatformen onder eIDAS 2.0?

Zeer grote onlineplatformen onder eIDAS 2.0 zijn platforms die formeel als VLOP zijn aangewezen op grond van de Europese Digital Services Act (DSA). De DSA definieert een VLOP als een onlineplatform met minimaal 45 miljoen gemiddelde maandelijkse actieve gebruikers in de EU. De Europese Commissie is verantwoordelijk voor deze aanwijzingen, en de lijst omvat grote sociale medianetwerken, zoekmachines en app-stores die op grote schaal actief zijn in heel Europa.

Platforms die een VLOP-aanwijzing hebben ontvangen, zijn onder meer Facebook, Instagram, TikTok, YouTube, LinkedIn, X (voorheen Twitter) en Google Search. De VLOP-status wordt niet zelf verklaard. De Commissie wijst deze toe op basis van gebruikersgegevens, en zodra een platform is aangewezen, moet het voldoen aan de verplichtingen die voortvloeien uit zowel de DSA als eIDAS 2.0.

Voor organisaties die zich afvragen of zij in deze categorie vallen, is het startpunt het DSA-aanwijzingsproces. Als jouw platform niet formeel als VLOP is aangewezen, zijn de specifieke eIDAS 2.0-verplichtingen voor VLOPs momenteel niet op jou van toepassing. Bredere eIDAS 2.0-vereisten kunnen afhankelijk van jouw sector en diensten echter nog steeds relevant zijn.

Welke specifieke verplichtingen legt eIDAS 2.0 op aan zeer grote onlineplatformen?

De kernverplichting die artikel 5f van eIDAS 2.0 oplegt aan VLOPs, is de eis om de EUDI-wallet te accepteren voor gebruikersauthenticatie, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Wanneer een VLOP gebruikers de mogelijkheid biedt om digitaal in te loggen of zichzelf te authenticeren, moet het de EUDI-wallet ondersteunen als geldige methode.

Deze verplichting heeft betrekking op de volgende gebieden:

• Acceptatie van de wallet: VLOPs moeten technisch authenticatie via de EUDI-wallet ondersteunen, zodat gebruikers hun identiteit kunnen bewijzen met behulp van in de wallet opgeslagen attestaties.
• Selective disclosure: De integratie moet de privacy-by-design-principes van de wallet respecteren, wat betekent dat platforms alleen de gegevensattributen mogen opvragen die strikt noodzakelijk zijn voor de dienst en die overeenkomen met de geregistreerde attributenscope.
• Non-discriminatie: Artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Platforms mogen gebruikers die zich authenticeren via de EUDI-wallet evenmin minder gunstig behandelen dan gebruikers die andere methoden gebruiken.
• Interoperabiliteit: De technische implementatie moet aansluiten bij de normen en specificaties die zijn vastgesteld in het eIDAS 2.0-kader en het Architecture and Reference Framework (ARF).

Deze verplichtingen verschuiven de balans richting de gebruiker. Gebruikers kunnen zich authenticeren met een geverifieerde, door de overheid uitgegeven digitale identiteit en via selective disclosure alleen delen wat nodig is voor de specifieke interactie, zonder dat zij gedwongen worden meer persoonsgegevens te verstrekken dan noodzakelijk.

Belangrijk: walletgebruik is vrijwillig. Een VLOP mag een gebruiker die geen EUDI-wallet gebruikt, niet benadelen of uitsluiten van de dienst. De verplichting is dat de wallet wordt geaccepteerd als optie, niet dat gebruikers worden verplicht deze te gebruiken.

Registratie als relying party is een voorwaarde

Voordat een VLOP walletdata kan opvragen, moet het zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging. Dit volgt uit CIR (EU) 2025/848 van 6 mei 2025. Bij registratie legt een relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.

Een leverancier die walletdata technisch namens een VLOP verwerkt, wordt door die verwerking niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een relying party kiest daarbij geen walletprovider: de organisatie moet iedere relevante genotificeerde wallet kunnen accepteren, ongeacht de provider. Een VLOP heeft geen gekwalificeerde verlener van vertrouwensdiensten (QTSP) nodig om de EUDI-wallet te accepteren. Een QTSP wordt relevant wanneer de toepassing ook gekwalificeerde attestaties of gekwalificeerde elektronische handtekeningen vereist.

Waarom moeten zeer grote onlineplatformen de EUDI-wallet accepteren?

VLOPs vormen de toegangspunten waar de overgrote meerderheid van de Europeanen gebruik maakt van digitale diensten. Zonder een verplichting voor deze dominante platforms zou de EUDI-wallet het risico lopen een nichetool te worden die alleen in de publieke sector wordt gebruikt, waardoor de EU-doelstelling van een werkelijk interoperabel digitaal identiteitsecosysteem in zowel de publieke als de private sector wordt ondermijnd.

De redenering achter het aanwijzen van VLOPs is dat deze platforms de marktmacht hebben om de facto normen te stellen voor hoe identiteit en authenticatie online werken. Als zij niet verplicht zijn de wallet te accepteren, hebben zij weinig commerciële prikkel om dit te doen, en blijven gebruikers afhankelijk van gefragmenteerde inlogmethoden waarbij meer persoonsgegevens worden gedeeld dan noodzakelijk. Door acceptatie op dit niveau verplicht te stellen, creëert eIDAS 2.0 de kritische massa die nodig is om de EUDI-wallet een praktische realiteit te maken voor het dagelijkse digitale leven.

Er is ook een gegevensminimalisatiedimensie aan deze vereiste. Het selective disclosure-mechanisme van de EUDI-wallet daagt bestaande dataverzamelingsmodellen rechtstreeks uit. Een gebruiker kan bijvoorbeeld bewijs van leeftijd delen, zoals het attribuut “ouder dan 18”, zonder zijn volledige naam of geboortedatum te onthullen. De VLOP-verplichting versnelt de adoptie van deze aanpak op grote schaal. Voor organisaties in gereguleerde sectoren zoals financiële dienstverlening of overheid sluit deze verschuiving ook aan bij bestaande gegevensbeschermingsverplichtingen onder de AVG.

Daarbij geldt dat goedkeuring van een dataverzoek in de wallet niet automatisch toestemming is als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens.

Wat is de nalevingstermijn voor zeer grote onlineplatformen?

Onder artikel 5f van eIDAS 2.0 geldt voor VLOPs een acceptatieplicht voor de EUDI-wallet die ingaat op 24 december 2027. De verplichting geldt op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.

Het is belangrijk publieke en private verplichtingen van elkaar te scheiden. Op 24 december 2026 moet iedere EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor private partijen zoals VLOPs is dit het moment waarop wallets daadwerkelijk beschikbaar komen en integratie vóór de eigen deadline van 24 december 2027 kan worden getest.

24 december 2026 is een deadline voor notificatie en uitgifte, niet automatisch het moment waarop volledige functionele interoperabiliteit in de hele EU bestaat. De beschikbaarheid van wallets per lidstaat kan in de praktijk variëren. Organisaties die nog niet zijn begonnen met hun technische en juridische voorbereiding, hebben steeds minder ruimte om zonder druk te handelen. Door nu te beginnen met het integratieproces, in plaats van te wachten op de definitieve deadline, krijgen platforms de tijd die ze nodig hebben om te testen, bij te sturen en af te stemmen op de evoluerende technische specificaties.

Wat gebeurt er als een zeer groot onlineplatform niet voldoet aan eIDAS 2.0?

Als een VLOP niet voldoet aan zijn eIDAS 2.0-verplichtingen, riskeert het handhavingsmaatregelen binnen het regelgevingskader. De handhaving van eIDAS 2.0-verplichtingen berust bij nationale toezichthoudende autoriteiten in elke lidstaat, en niet-naleving kan leiden tot aanzienlijke financiële sancties. Gezien het feit dat VLOPs al onder verscherpt toezicht staan van zowel de DSA- als de AVG-handhavingsinstanties, is niet-naleving een risico met grote zichtbaarheid.

Naast financiële sancties zijn er bredere operationele risico’s. VLOPs die de EUDI-wallet niet ondersteunen, kunnen gebruikers die ervoor kiezen uitsluitend via hun wallet te authenticeren niet bedienen, waardoor zij een groeiend segment van de Europese gebruikersbasis effectief uitsluiten. Naarmate de adoptie van de wallet toeneemt, wordt dit een steeds groter commercieel nadeel.

Er is ook een cumulatief risico voor platforms die actief zijn in meerdere gereguleerde sectoren. Een VLOP die ook diensten aanbiedt op gebieden zoals gezondheidszorg of financiën, kan te maken krijgen met overlappend regelgevend toezicht van sectorspecifieke toezichthouders naast het eIDAS 2.0-handhavingskader. Niet-naleving op één gebied kan de aandacht vestigen op nalevingstekorten op andere gebieden.

Hoe moeten zeer grote onlineplatformen zich voorbereiden op eIDAS 2.0-naleving?

Voorbereiding begint met een analyse van de huidige authenticatie-infrastructuur ten opzichte van de technische vereisten voor EUDI-wallet-integratie. Dit betekent het beoordelen van bestaande identiteits- en toegangsbeheersystemen, het begrijpen van de OID4VP- en SD-JWT VC-standaarden die de basis vormen van op wallets gebaseerde authenticatie, en het identificeren van waar wijzigingen nodig zijn in gebruikersstromen, gegevensverwerking en backendsystemen.

Een gestructureerde voorbereidingsaanpak omvat doorgaans de volgende stappen:

1. Breng het huidige authenticatielandschap in kaart: Documenteer alle bestaande inlog- en identiteitsverificatiemethoden op jouw platform en identificeer welke gebruikerstrajecten worden beïnvloed door de wallet-verplichting.
2. Bestudeer het Architecture and Reference Framework (ARF): Het ARF definieert de technische specificaties voor EUDI-wallet-interoperabiliteit. Het begrijpen ervan is essentieel voordat integratiewerkzaamheden beginnen. Houd rekening met nieuwe revisies van het ARF, omdat de specificaties nog worden aangescherpt. De uitvoeringshandelingen zijn juridisch bindend; het ARF bevat de technische uitwerking.
3. Analyseer de pilots: De EU heeft vier grootschalige pilotprogramma’s uitgevoerd om de EUDI-wallet in praktijkscenario’s te testen. Deze pilots liepen van april 2023 tot 2025 en zijn afgerond. POTENTIAL richtte zich onder meer op bankrekening openen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC testte Digital Travel Credentials, betalingen en organisational digital identity. NOBID richtte zich op betalingen en DC4EU op onderwijs en sociale zekerheid. De praktijkbevindingen zijn openbaar beschikbaar en bieden concrete aanknopingspunten voor integratie. In 2025 startte een tweede pilotgolf met WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
4. Beoordeel juridische en nalevingsimplicaties: Acceptatie van de wallet heeft gevolgen voor jouw privacybeleid, gegevensverwerkingsovereenkomsten en AVG-naleving. Juridische en nalevingsteams moeten vroeg worden betrokken. Een zelfstandige AVG-grondslag is vereist voor de verwerking van ontvangen walletdata.
5. Registreer als relying party: Zorg dat jouw organisatie tijdig is geregistreerd bij de bevoegde nationale autoriteit van de lidstaat van vestiging conform CIR (EU) 2025/848 van 6 mei 2025, inclusief de geregistreerde attributenscope per intended use.
6. Plan voor gefaseerde uitrol: Omdat de beschikbaarheid van wallets per lidstaat kan verschillen, bouw je een land-voor-land implementatieplan in plaats van één monolithisch project.
7. Testen en bijsturen: Integratie met een nieuwe identiteitsstandaard vereist grondig testen. Daarbij gaat het om drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet draait op een gecertificeerde wallet solution. Reserveer tijd voor gebruikerstests, beveiligingsreview en technische validatie voordat je live gaat.

Ondersteuning van de EUDI-wallet kan onboardingwrijving verminderen en de kwaliteit van geverifieerde identiteitsdata verbeteren. Tegelijkertijd gelden de grenzen van eIDAS 2.0: nationale vormvereisten blijven nationaal recht, en hergebruik van geverifieerde identiteitsdata voor KYC-doeleinden wordt mede bepaald door AML-regelgeving en sectorale regels.

Hoe ondersteunt de ID Connector van TrustTech VLOPs bij eIDAS 2.0-integratie

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor VLOPs die zich voorbereiden op de deadline van 24 december 2027 ondersteunt de ID Connector concreet de volgende technische taken:

• Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL).
• Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om vast te stellen of een attestatie nog geldig is.
• Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution, wat een vereiste is voor betrouwbare authenticatie.
• Bewaking van de geregistreerde attributenscope: De ID Connector ondersteunt het opvragen van uitsluitend de attributen en attestaties die zijn vastgelegd in de registratie conform CIR (EU) 2025/848, waardoor verzoeken buiten de geregistreerde scope worden voorkomen.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitsdata kan worden hergebruikt binnen de grenzen van de geregistreerde scope en de toepasselijke AVG-grondslag, zonder dat de gebruiker opnieuw hoeft te authenticeren voor elke interactie.
• Gekwalificeerd tekenen via een aangesloten QTSP: Wanneer een toepassing ook een gekwalificeerde elektronische handtekening vereist, ondersteunt de ID Connector de koppeling met een aangesloten QTSP. De QES zelf komt tot stand via die QTSP.

De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government, waar eIDAS 2.0 samenvalt met aanvullende sectorale regelgeving en waar de kwaliteit van identiteitsverificatie direct van invloed is op nalevingsverplichtingen.

Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw authenticatie-infrastructuur en wat er nodig is om tijdig te voldoen aan de verplichtingen van artikel 5f.