eIDAS 2.0 heeft invloed op single sign-on-oplossingen, maar maakt ze niet overbodig. De meeste bestaande SSO-implementaties zullen moeten worden bijgewerkt of uitgebreid om de nieuwe authenticatiezekerheidsniveaus, op wallet gebaseerde attestaties en interoperabiliteitsvereisten van de verordening te ondersteunen. Organisaties die afhankelijk zijn van SSO voor toegang tot gereguleerde diensten, moeten beoordelen waar hun huidige opzet tekortschiet en dienovereenkomstig plannen. De onderstaande secties geven antwoord op de belangrijkste vragen die organisaties op dit moment stellen.
Zullen bestaande SSO-oplossingen nog steeds voldoen aan eIDAS 2.0?
De meeste bestaande SSO-oplossingen zullen niet volledig voldoen aan eIDAS 2.0 zonder aanpassingen. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en verhoogt de lat voor identiteitszekerheid, introduceert strengere eisen rond authenticatieniveaus en verplicht ondersteuning voor de Europese Digitale Identiteitswallet. SSO-systemen die zijn gebouwd op oudere identiteitsstandaarden of lagere zekerheidsniveaus, moeten worden herzien en bijgewerkt om compliant te blijven in gereguleerde contexten.
Dit betekent niet dat organisaties alles opnieuw moeten opbouwen. Veel moderne SSO-platformen zijn gebouwd op standaarden zoals OpenID Connect en OAuth 2.0, die deel uitmaken van de technische basis voor eIDAS 2.0-compatibele authenticatie. De vraag is of die implementaties voldoen aan de vereiste zekerheidsniveaus en kunnen integreren met op wallet gebaseerde attestaties. In veel gevallen kan de bestaande SSO-architectuur worden uitgebreid in plaats van vervangen, maar dat vereist een duidelijk begrip van wat de verordening daadwerkelijk eist.
Compliance is ook contextafhankelijk. Een SSO-oplossing die uitsluitend wordt gebruikt voor interne toegang van medewerkers kan andere vereisten hebben dan een oplossing die wordt gebruikt om klanten te authenticeren die toegang hebben tot financiële of gezondheidszorgdiensten. Organisaties moeten hun SSO-gebruiksscenario’s in kaart brengen aan de hand van de toepasselijke eIDAS 2.0-vereisten voordat ze conclusies trekken over wat er moet veranderen.
Hoe verandert de EUDI-wallet de manier waarop SSO-authenticatie werkt?
De EUDI-wallet introduceert een authenticatiemodel waarbij gebruikers geverifieerde attestaties in een persoonlijke digitale wallet bewaren en deze rechtstreeks aan diensten presenteren, zonder te vertrouwen op een gecentraliseerde identiteitsprovider die namens hen authenticeert. Dit verschuift een deel van de controle weg van de SSO-provider naar de gebruiker, wat reële gevolgen heeft voor de manier waarop gefedereerde identiteitsstromen worden ontworpen.
In een traditionele SSO-opzet authenticeert een identiteitsprovider de gebruiker en geeft een token uit dat diensten vertrouwen. Met de EUDI-wallet bevat de wallet unit cryptografisch ondertekende attributen, zoals naam, leeftijd of beroepskwalificaties, en presenteert via selective disclosure alleen de gegevens die een dienst daadwerkelijk nodig heeft. Dit model is fundamenteel anders dan de tokenbenadering die de meeste SSO-systemen vandaag de dag gebruiken.
Voor organisaties die SSO-infrastructuur beheren, betekent dit het bouwen of integreren van een relying party-interface die op wallet gebaseerde presentaties kan accepteren naast traditionele op tokens gebaseerde authenticatie. De twee modellen sluiten elkaar niet uit. Veel organisaties zullen ze gedurende een overgangsperiode parallel uitvoeren, waarbij wallet-attestaties worden ondersteund voor nieuwe regulatoire gebruiksscenario’s, terwijl bestaande SSO-stromen voor legacy-systemen worden gehandhaafd.
De EUDI-wallet moet uiterlijk op 24 december 2026 beschikbaar zijn in alle EU-lidstaten. Dat is de deadline waarop iedere lidstaat minimaal één gecertificeerde EUDI-wallet operationeel moet hebben en publieke instanties genotificeerde wallets moeten accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. De Large Scale Pilots hebben in de periode 2023 tot 2025 reële scenario’s getest, waaronder het openen van bankrekeningen, toegang tot overheidsdiensten en het ondertekenen van contracten. Organisaties in financiële dienstverlening en andere gereguleerde sectoren doen er goed aan wallet-integratie als prioriteit op te pakken, zodat ze tijdig klaar zijn voor zowel de deadline voor walletuitgifte en publieke acceptatie op 24 december 2026 als de acceptatieplicht voor de relevante gereguleerde private sectoren per 24 december 2027.
Wat is het verschil tussen eIDAS 2.0-authenticatie en traditionele SSO?
Het belangrijkste verschil ligt in de herkomst van vertrouwen. Traditionele SSO vertrouwt op een identiteitsprovider die de gebruiker authenticeert en zijn identiteit garandeert aan andere diensten. eIDAS 2.0-authenticatie via de EUDI-wallet verschuift vertrouwen naar cryptografisch verifieerbare attestaties die de gebruiker zelf bezit en beheert. Dit verandert het vertrouwensmodel van providercentraal naar gebruikerscentraal.
Bij traditionele SSO is de identiteitsprovider het enige vertrouwenspunt. Als een gebruiker inlogt via de identiteitsprovider van zijn werkgever, vertrouwen downstream-diensten op de bewering van die provider. Dit werkt goed binnen één organisatie of een strak gereguleerde federatie, maar het creëert wrijving wanneer gebruikers moeten authenticeren over organisaties, grenzen of sectoren heen.
eIDAS 2.0 pakt dit aan door de zekerheidsniveaus en technische formaten te standaardiseren waaraan attestaties moeten voldoen. Een attestatie uitgegeven door een overheidsinstantie in één EU-lidstaat moet worden geaccepteerd door een dienst in een andere lidstaat. Deze grensoverschrijdende, sectoroverstijgende interoperabiliteit is iets waarvoor traditionele SSO nooit op schaal is ontworpen.
Een ander belangrijk onderscheid is dataminimalisatie. Traditionele SSO-tokens bevatten vaak een brede set gebruikersattributen, waarvan de ontvangende dienst er veel niet daadwerkelijk nodig heeft. eIDAS 2.0 maakt via het walletmodel selective disclosure mogelijk, wat betekent dat gebruikers alleen de specifieke attributen delen die nodig zijn voor een bepaalde interactie. Dit sluit aan bij de AVG-beginselen en vermindert het risico van onnodige blootstelling van persoonsgegevens.
Welke sectoren worden het meest beïnvloed door de impact van eIDAS 2.0 op SSO?
De meest getroffen sectoren zijn die waarbij identiteitszekerheid een wettelijke vereiste is en waarbij gebruikers regelmatig authenticeren over organisatiegrenzen heen. Financiële dienstverlening, overheid, gezondheidszorg en andere gereguleerde sectoren staan onder de meeste directe druk om hun SSO- en authenticatie-infrastructuur aan te passen aan de eIDAS 2.0-normen. Voor gereguleerde private partijen in de relevante sectoren geldt op grond van artikel 5f van Verordening (EU) 2024/1183 een acceptatieplicht per 24 december 2027, wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd: de uitzondering geldt voor organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.
- Financiële dienstverlening: Banken, verzekeraars en betalingsdienstaanbieders moeten hoogwaardige authenticatie ondersteunen voor klantacceptatie, rekeningtoegang en sterke klantauthenticatie onder PSD2. eIDAS 2.0 verandert het vereiste zekerheidsniveau en introduceert op wallet gebaseerde attestaties als erkende authenticatiemethode.
- Overheid: Publieke instanties zijn verplicht genotificeerde EUDI-wallet-attestaties te accepteren voor burgers die toegang hebben tot digitale diensten, uiterlijk per 24 december 2026. Dit heeft directe gevolgen voor de identiteitsinfrastructuur achter burgergerichte portalen en SSO-gateways.
- Gezondheidszorg: Patiëntidentiteit, toestemmingsbeheer en grensoverschrijdende uitwisseling van gezondheidsgegevens zijn allemaal afhankelijk van betrouwbare, hoogwaardige authenticatie. eIDAS 2.0 maakt veiligere en interoperabelere identiteitsstromen mogelijk in een sector waar de gevoeligheid van gegevens bijzonder hoog is.
- Telecom, energie en transport: Ook deze gereguleerde sectoren vallen onder de acceptatieplicht voor de private sector per 24 december 2027, voor zover sterke gebruikersauthenticatie wettelijk of contractueel vereist is.
- Onderwijs: Verificatie van diploma’s en grensoverschrijdende erkenning van kwalificaties zijn actieve gebruiksscenario’s die in de Large Scale Pilots zijn getest door het DC4EU-consortium. Dit maakt onderwijs een sector waar SSO- en identiteitsinfrastructuur zal moeten evolueren.
Organisaties in deze sectoren kunnen verkennen hoe sectorspecifieke identiteitsvereisten voor de gezondheidszorg en andere gereguleerde contexten de praktische implementatie van eIDAS 2.0-compatibele authenticatie vormgeven.
Welke technische standaarden liggen ten grondslag aan eIDAS 2.0-compatibele authenticatie?
eIDAS 2.0-compatibele authenticatie is gebouwd op een combinatie van gevestigde en opkomende standaarden. OpenID Connect en OAuth 2.0 blijven centraal staan, maar worden uitgebreid en beperkt door eIDAS-specifieke profielen en nieuwe protocollen die zijn ontworpen voor op wallet gebaseerde uitwisseling van attestaties. Het begrijpen van deze lagen is essentieel voor technische teams die SSO-updates plannen.
De belangrijkste technische bouwstenen zijn:
- OpenID Connect for Identity Assurance (OIDC4IDA): Een uitbreiding van OpenID Connect die gestructureerde identiteitszekerheidsclaims toevoegt, waardoor diensten geverifieerde identiteitsgegevens kunnen opvragen en ontvangen op een bepaald zekerheidsniveau.
- OpenID for Verifiable Credential Issuance (OID4VCI): Het protocol dat wordt gebruikt voor het uitgeven van attestaties van een uitgever aan een wallet, en dat de basis vormt voor hoe de EUDI-wallet attestaties ontvangt van vertrouwde bronnen.
- OpenID for Verifiable Presentations (OID4VP): Het protocol dat wordt gebruikt voor het presenteren van attestaties vanuit een wallet aan een relying party, waardoor diensten in de wallet opgeslagen attributen kunnen opvragen en verifiëren.
- ISO/IEC 18013-5 en ISO/IEC TS 18013-7: De internationale standaarden voor het mdoc-formaat, respectievelijk voor proximity-presentatie en online presentatie, waarnaar wordt verwezen in de EUDI-wallet-architectuur.
- SD-JWT VC (Selective Disclosure JWT Verifiable Credential): Een attestatieformaat dat selective disclosure van specifieke attributen binnen een ondertekende attestatie mogelijk maakt, ter ondersteuning van de dataminimalisatieprincipes van eIDAS 2.0.
Voor organisaties die al SSO uitvoeren op OpenID Connect en OAuth 2.0 is het goede nieuws dat de eIDAS 2.0-technische architectuur voortbouwt op deze fundamenten. De uitdaging ligt in het implementeren van de juiste profielen, waaronder het High Assurance Interoperability Profile (HAIP), het integreren met wallet-eindpunten en het voldoen aan de zekerheidsniveauvereisten die zijn gedefinieerd in het Architecture and Reference Framework dat is ontwikkeld door de eIDAS Expert Group. De juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen zelf; de ARF geeft de technische uitwerking daarvan.
Hoe moeten organisaties beginnen met het aanpassen van hun SSO-infrastructuur voor eIDAS 2.0?
Organisaties moeten beginnen met het in kaart brengen van hun huidige SSO-gebruiksscenario’s aan de hand van de eIDAS 2.0-zekerheidsniveauvereisten en het identificeren van lacunes. Dit betekent begrijpen welke diensten hoogwaardige authenticatie vereisen, welke gebruikerstrajecten organisatorische of nationale grenzen overschrijden, en welke typen attestaties de EUDI-wallet moet ondersteunen. Vanuit daar is een gefaseerd aanpassingsplan praktischer dan een volledige vervanging.
Een realistisch startpunt omvat drie parallelle werkstromen. Ten eerste, beoordeel de huidige situatie: audit bestaande identiteitsproviders, SSO-configuraties en de zekerheidsniveaus die ze daadwerkelijk leveren. Ten tweede, ga direct aan de slag met de wettelijke vereisten: Verordening (EU) 2024/1183 en de uitvoeringshandelingen ervan bepalen welke diensten wallet-attestaties moeten accepteren en op welk zekerheidsniveau. Ten derde, begin met technische voorbereiding door te evalueren of bestaande SSO-platformen OID4VP en de relevante attestatieformaten ondersteunen of kunnen worden uitgebreid om dit te ondersteunen.
Relying parties moeten zich bovendien registreren bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848 voordat zij walletdata kunnen opvragen. Bij die registratie leggen zij per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Organisaties die walletdata technisch laten verwerken door een leverancier, worden daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Organisaties moeten ook aandacht besteden aan de herbruikbaarheid van geverifieerde identiteitsgegevens. Een van de meest praktische voordelen van eIDAS 2.0 is dat een gebruiker die al is geverifieerd door zijn bank of overheid, niet hetzelfde proces opnieuw hoeft te doorlopen bij elke nieuwe dienst. Het bouwen van SSO-infrastructuur die eerder uitgegeven verifieerbare attestaties kan accepteren en vertrouwen, vermindert de wrijving voor gebruikers en de nalevingskosten voor organisaties. Dit is vooral relevant voor sectoren zoals overheidsdiensten, waar hergebruik van identiteiten tussen instanties zowel een gebruikerservaring- als een efficiëntiedoelstelling is.
Onderschat tot slot niet de governance- en procesdimensie. Technische updates van SSO-infrastructuur moeten gepaard gaan met bijgewerkte gegevensverwerkingsovereenkomsten, privacyeffectbeoordelingen en personeelstraining. Goedkeuring van gegevensdeling in de wallet is bovendien niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen persoonsgegevens. eIDAS 2.0-compliance vereist daarom afstemming tussen juridische, compliance-, IT- en bedrijfsteams.
Hoe de ID Connector van TrustTech helpt bij eIDAS 2.0 en single sign-on
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet ondersteunt de ID Connector:
- verificatie van attestaties tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, inclusief controle van de intrekkingsstatus via statusinformatie van de uitgever
- validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
- hergebruik van geverifieerde identiteitsgegevens, waardoor gebruikers eerder uitgegeven attestaties kunnen inzetten bij meerdere diensten zonder het verificatieproces te herhalen
- integratie van gekwalificeerd tekenen via een aangesloten gekwalificeerde verlener van vertrouwensdiensten, voor diensten waarbij een gekwalificeerde elektronische handtekening vereist is
De ID Connector is inzetbaar voor organisaties in financiële dienstverlening, gezondheidszorg, farma en overheid. Neem contact op met TrustTech om te bespreken hoe jouw organisatie haar identiteitsinfrastructuur kan aanpassen voor de volgende generatie digitaal vertrouwen.