Wat is de EUDI Wallet en hoe werkt het?

De EUDI-wallet, afkorting voor European Digital Identity Wallet, is een beveiligde mobiele applicatie waarmee EU-burgers, inwoners en bedrijven geverifieerde identiteitsattestaties en digitale documenten kunnen opslaan, beheren en delen. De wallet is gebouwd op de juridische basis van Verordening (EU) 2024/1183, ook wel aangeduid als eIDAS 2.0, die Verordening (EU) nr. 910/2014 wijzigt en vereist dat elke lidstaat zijn burgers uiterlijk op 24 december 2026 een wallet aanbiedt. Dit artikel legt uit hoe de wallet werkt, wat je ermee kunt doen en wat dit betekent voor jouw organisatie.

Hoe werkt de EUDI-wallet precies?

De EUDI-wallet werkt doordat gebruikers geverifieerde digitale attestaties kunnen ontvangen van vertrouwde uitgevers, deze veilig op hun apparaat kunnen opslaan en alleen de specifieke gegevens kunnen delen die een dienst vereist. De wallet maakt gebruik van cryptografische technologie om te zorgen dat attestaties tamper-evident zijn en dat de gebruiker controle behoudt over wat er wordt gedeeld en met wie.

Een concreet voorbeeld maakt dit duidelijk. Wanneer je jouw rijbewijs toont bij een wegcontrole, overhandig je het volledige document. Met de EUDI-wallet kun je via selective disclosure alleen jouw leeftijd, nationaliteit of rijbewijscategorie delen, zonder jouw thuisadres of andere gegevens prijs te geven die niet relevant zijn voor dat specifieke verzoek.

Selective disclosure is een van de kernontwerpelementen van het EU-kader voor digitale identiteit. Het vermindert het risico op persoonlijke profilering en geeft gebruikers reële controle over hun eigen gegevens, iets wat fysieke documenten niet kunnen bieden.

De wallet maakt deel uit van een breder vertrouwensecosysteem. Attestaties worden uitgegeven door bevoegde partijen, geverifieerd aan de hand van nationale trusted lists en geaccepteerd door relying parties zoals banken, overheidsportalen en zorgaanbieders. De architectuur is gebouwd op open technische standaarden die zijn uitgewerkt in het Architecture and Reference Framework (ARF), verfijnd via vier grootschalige pilotprogramma’s met meer dan 350 publieke en private entiteiten uit 26 lidstaten.

Verificatie van een gepresenteerde attestatie omvat drie afzonderlijke controles. Een relying party controleert de handtekening van de uitgever aan de hand van de relevante nationale trusted list, verifieert de intrekkingsstatus via de statusinformatie van de uitgever, en valideert de wallet unit attestation om vast te stellen dat de wallet instance draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.

Wat kun je opslaan en delen met de EUDI-wallet?

De EUDI-wallet is ontworpen om een breed scala aan digitale documenten en attestaties te bevatten, voor zowel alledaagse als ingrijpende interacties. Gebruikers kunnen door de overheid uitgegeven identiteitsdocumenten, beroepskwalificaties, zorgdossiers en nog veel meer opslaan, allemaal in één wallet unit.

De vier grootschalige pilots liepen van april 2023 tot 2025 en zijn afgerond. Ze testten de wallet aan de hand van een reeks praktijkgerichte gebruiksscenario’s. POTENTIAL richtte zich op overheidsdiensten, het openen van een bankrekening, SIM-registratie, het mobiele rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. EWC piloteerde Digital Travel Credentials, betalingen en organisational digital identity. NOBID richtte zich op betalingen. DC4EU testte onderwijs en sociale zekerheid. Deze pilots geven een duidelijk beeld van de beoogde reikwijdte:

1. Toegang tot overheidsdiensten, zoals belastingaangifte of het aanvragen van een paspoort
2. Een bankrekening openen zonder herhaaldelijk identiteitsdocumenten in te dienen
3. Een simkaart registreren met geverifieerd identiteitsbewijs
4. Een mobiel rijbewijs opslaan en tonen, zowel online als langs de weg
5. Contracten digitaal ondertekenen met een gekwalificeerde elektronische handtekening
6. Recepten ophalen bij apotheken in EU-lidstaten
7. Reizen door Digital Travel Credentials te tonen bij grenscontroles, een functionaliteit die is gepiloteerd maar nog niet algemeen operationeel is
8. Aantonen dat je een bevoegde vertegenwoordiger van een organisatie bent
9. Jouw identiteit verifiëren bij het autoriseren van online betalingen
10. Onderwijsattestaties delen, zoals diploma’s of graden
11. Toegang krijgen tot sociale zekerheidsuitkeringen en documenten zoals de Europese ziekteverzekeringskaart

Deze breedte maakt de EUDI-wallet bruikbaar in het dagelijks leven. Voor bedrijven opent het nieuwe mogelijkheden voor gestroomlijnde onboarding, minder fraude en grensoverschrijdende dienstverlening. Daarbij is het van belang te beseffen dat de wallet de gegevens draagt, maar niet automatisch de juridische grondslag vormt voor erkenning. Erkenning van beroepskwalificaties volgt bijvoorbeeld uit Richtlijn 2005/36/EG. Hergebruik van KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels.

Wie geeft attestaties uit aan de EUDI-wallet?

Attestaties in de EUDI-wallet worden uitgegeven door bevoegde en vertrouwde entiteiten, waaronder overheidsinstanties, financiële instellingen, onderwijsinstellingen, zorgaanbieders en andere organisaties die officieel zijn erkend binnen het EU-vertrouwenskader.

Het uitgeversmodel is bepalend voor de betrouwbaarheid van de wallet. Een attestatie is slechts zo betrouwbaar als de entiteit die hem heeft uitgegeven. Een nationale overheid geeft jouw persoonsidentificatiedata (PID) uit, een universiteit jouw diplomacertificaat en een zorgautoriteit jouw receptenregister. Elk van deze uitgevers moet voldoen aan de vereisten van Verordening (EU) 2024/1183 en geregistreerd zijn binnen de juiste vertrouwensinfrastructuur, inclusief de relevante nationale trusted list.

Lidstaten zijn wettelijk verplicht op te treden als uitgevers van fundamentele identiteitsattestaties. Private organisaties kunnen ook uitgevers worden, mits zij voldoen aan de regelgevende criteria. Niet iedere private uitgever wordt automatisch op een nationale trusted list geplaatst: de voorwaarden daarvoor volgen uit de toepasselijke uitvoeringshandelingen. Dit creëert een gelaagd ecosysteem waarbij zowel overheidsinstanties als gescreende private partijen bijdragen aan de attestatieopslag van de wallet.

Attestaties kennen verschillende niveaus: gekwalificeerde elektronische attribuutattestaties (QEAA), door publiekrechtelijke lichamen uitgegeven attestaties (PuB-EAA) en niet-gekwalificeerde EAA. PuB-EAA valt niet onder de categorie niet-gekwalificeerde EAA. Elk niveau heeft eigen vereisten ten aanzien van de uitgever en de bijbehorende vertrouwensinfrastructuur. Het uitgeven van attestaties van attributen is zelf een trust service onder Verordening (EU) 2024/1183.

De open-source aard van de referentie-implementatie van de wallet betekent dat lidstaten en goedgekeurde partijen hun eigen wallet solutions en uitgeversservices kunnen bouwen, allemaal in overeenstemming met dezelfde technische standaarden uit het ARF. Dit bevordert interoperabiliteit over grenzen heen. Organisaties in de financiële dienstverlening en andere gereguleerde sectoren onderzoeken al hoe zij erkende attestatie-uitgevers kunnen worden binnen dit kader.

Welke organisaties zijn verplicht de EUDI-wallet te accepteren?

Op grond van Verordening (EU) 2024/1183 zijn overheidsinstanties en publieke dienstverleners in alle EU-lidstaten verplicht genotificeerde EUDI-wallets te accepteren voor digitale toegang tot diensten waarvoor elektronische identificatie vereist is, uiterlijk vanaf 24 december 2026. Voor gereguleerde private partijen geldt een acceptatieplicht vanaf 24 december 2027, op grond van artikel 5f van de verordening. Deze verplichting is van toepassing op gereguleerde partijen in sectoren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is, waaronder banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten. Zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f: voor hen geldt de verplichting waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.

Micro- en kleine ondernemingen zijn van de private acceptatieplicht uitgezonderd. De criteria hiervoor zijn minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro.

Elke relying party die walletdata wil opvragen, moet zich daarnaast registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848 van 6 mei 2025. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

Deze verplichting is een significante verschuiving ten opzichte van het oorspronkelijke eIDAS-kader, dat zich voornamelijk richtte op publieke diensten. Verordening (EU) 2024/1183 breidt de acceptatieplicht bewust uit naar de private sector, omdat de meeste digitale interacties tegenwoordig plaatsvinden via commerciële platforms.

In de praktijk betekent dit dat als jouw organisatie actief is in een van de genoemde gereguleerde sectoren en gebruikers verplicht zijn hun identiteit online te verifiëren, je in staat moet zijn EUDI-wallet-attestaties te accepteren als geldige vorm van identificatie. Walletgebruik is vrijwillig voor de eindgebruiker: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. De acceptatieplicht geldt voor de organisatie, niet als verplichting voor de gebruiker.

Voor organisaties in de publieke sector is de tijdlijn duidelijk: walletacceptatie moet zijn ingevoerd uiterlijk op 24 december 2026. Voor gereguleerde private organisaties in de relevante sectoren is de acceptatieplicht van kracht vanaf 24 december 2027. De voorbereiding, inclusief registratie als relying party en technische integratie, vraagt tijd en moet nu beginnen.

Hoe verschilt de EUDI-wallet van bestaande digitale identiteitsoplossingen?

De EUDI-wallet verschilt op drie fundamentele manieren van bestaande digitale identiteitsoplossingen: hij is gestandaardiseerd voor de gehele EU, hij geeft gebruikers directe controle over hun gegevens via selective disclosure, en acceptatie is wettelijk verplicht voor overheidsinstanties en gereguleerde private partijen.

De meeste bestaande digitale identiteitsoplossingen zijn nationaal van opzet, eigendom van een specifiek platform, of allebei. Het digitale onboardingproces van een bank werkt voor die bank. Een nationale eID werkt binnen één land. Inloggen via een socialmediaplatform ruilt gemak in voor dataverzameling. Geen van deze benaderingen biedt de portabiliteit, privacycontrole en grensoverschrijdende erkenning die de EUDI-wallet is ontworpen te bieden.

De belangrijkste verschillen kunnen als volgt worden samengevat:

• Grensoverschrijdende erkenning: De EUDI-wallet werkt in alle EU-lidstaten, niet alleen in het land dat hem heeft uitgegeven
• Selective disclosure: Gebruikers delen alleen wat noodzakelijk is, in plaats van een volledig document
• Geen platformafhankelijkheid: Gebruikers hebben toegang tot diensten zonder te vertrouwen op private platforms of sociale logins
• Regelgevende ondersteuning: Acceptatie is wettelijk verplicht voor overheidsinstanties en gereguleerde private partijen in de relevante sectoren, waardoor de wallet op grote schaal echt bruikbaar is
• Interoperabiliteit: Gebouwd op gemeenschappelijke technische standaarden, waaronder mdoc (ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie) en SD-JWT VC, met OID4VCI voor uitgifte en OID4VP voor presentatie

Deze combinatie van privacy, portabiliteit en juridische afdwingbaarheid maakt de EUDI-wallet tot een fundamenteel andere propositie dan wat er momenteel beschikbaar is. Het is een nieuwe laag van vertrouwensinfrastructuur voor de digitale economie van Europa.

Wat moeten bedrijven doen om zich voor te bereiden op de EUDI-wallet?

Bedrijven moeten hun huidige identiteitsprocessen beoordelen, hun verplichtingen onder Verordening (EU) 2024/1183 begrijpen en beginnen met technische en organisatorische voorbereiding om walletattestaties te accepteren, uit te geven, of beide. Hoe eerder dit werk begint, hoe soepeler de overgang zal verlopen.

Voorbereiding is geen eenmalige taak, maar een gestructureerd proces. De volgende stappen weerspiegelen de gebieden die de meeste organisaties zullen moeten aanpakken.

Breng eerst jouw huidige identiteitscontactpunten in kaart. Waar verifieer je wie gebruikers zijn? Waar geef je documenten of certificaten uit die gebruikers mogelijk in een wallet willen hebben? Dit zijn de integratiepunten die zullen moeten veranderen.

Begrijp vervolgens jouw regelgevende verplichtingen. Afhankelijk van jouw sector en de diensten die je levert, ben je mogelijk al verplicht de EUDI-wallet te accepteren zodra deze volledig is uitgerold. Complianceteams moeten de vereisten uit Verordening (EU) 2024/1183 en eventuele sectorspecifieke uitvoeringshandelingen doornemen. Controleer ook of de uitzondering voor micro- en kleine ondernemingen op jouw organisatie van toepassing is.

Verdiep je daarna in de technische standaarden. De wallet is gebouwd op het ARF dat is ontwikkeld door de eIDAS Expert Group van de EU. De uitvoeringshandelingen zijn juridisch bindend; het ARF bevat de technische uitwerking. Bekendheid met de ARF-specificaties, de gedefinieerde credentialformaten en de uitwisselingsprotocollen is essentieel voor elke organisatie die betrokken is bij de implementatie.

Overweeg vervolgens jouw rol in het ecosysteem. Word je een relying party die walletattestaties accepteert? Een attestatie-uitgever? Of beide? Elke rol brengt andere technische en governance-eisen met zich mee. Als relying party moet je je registreren conform CIR (EU) 2025/848 en per intended use vastleggen welke attributen je opvraagt. Een relying party kiest geen walletprovider: de organisatie moet iedere relevante genotificeerde wallet kunnen accepteren, ongeacht de provider. Een relying party heeft voor walletacceptatie niet automatisch een qualified trust service provider (QTSP) nodig. Een QTSP wordt relevant wanneer je gekwalificeerde attestaties uitgeeft of gekwalificeerd tekenen aanbiedt.

Houd ook rekening met de AVG-dimensie. Goedkeuring van een dataverzoek in de wallet is geen toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Als relying party heb je een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.

Organisaties in de gezondheidszorg en andere sterk gereguleerde sectoren staan voor extra complexiteit, omdat zij walletintegratie moeten afstemmen op bestaande gegevensbescherming en sectorspecifieke compliancekaders. Vroeg beginnen geeft de tijd om deze lagen aan te pakken.

Hoe helpt TrustTech bij de EUDI-wallet

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

De ID Connector ondersteunt de volgende technische taken die direct aansluiten op de verplichtingen en uitdagingen die in dit artikel zijn beschreven:

• Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever aan de hand van de relevante nationale trusted list, conform de ETSI TS 119 612-structuur en de EU List of Trusted Lists (LOTL)
• Controle van intrekkingsstatus: De ID Connector verifieert de intrekkingsstatus van ontvangen attestaties via de statusinformatie van de uitgever
• Validatie van de wallet unit attestation: De ID Connector stelt vast dat de presenterende wallet instance draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope: De ID Connector bewaakt dat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde scope conform CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde gegevens kunnen worden hergebruikt binnen de processen van de relying party, binnen de grenzen van de toepasselijke AVG-grondslag
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector ondersteunt gekwalificeerde elektronische handtekeningen via een aangesloten qualified trust service provider

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmaceutica en de publieke sector, die elk voor eigen deadlines en compliancevereisten staan onder Verordening (EU) 2024/1183.

De deadline voor walletuitgifte en publieke acceptatie ligt op 24 december 2026. De acceptatieplicht voor gereguleerde private partijen in de relevante sectoren volgt op 24 december 2027. Neem contact op met TrustTech om te bespreken hoe de ID Connector jouw organisatie in staat stelt walletattestaties te accepteren en te verwerken conform de vereisten van eIDAS 2.0.