Een attestatie in de context van de EUDI-wallet is een fraudebestendig digitaal document dat iets over je bewijst, zoals je leeftijd, nationaliteit of beroepskwalificatie, op een manier die cryptografisch kan worden geverifieerd door elke partij die het ontvangt. In tegenstelling tot een gescande PDF of een foto van je paspoort bevat een attestatie ingebouwd bewijs van wie hem heeft uitgegeven en dat hij niet is gewijzigd. De onderstaande secties leggen uit hoe deze attestaties werken, wie ze uitgeeft en wat ze betekenen voor organisaties die zich voorbereiden op de European Digital Identity Wallet.
Hoe werken attestaties in de praktijk binnen de EUDI-wallet?
Een attestatie werkt binnen de EUDI-wallet via een driepartijensysteem: een uitgever maakt de attestatie aan en ondertekent deze cryptografisch, de houder slaat hem op in zijn wallet, en een relying party controleert de authenticiteit. Die verificatie bestaat uit meerdere afzonderlijke controles: de handtekening van de uitgever wordt gevalideerd aan de hand van de relevante nationale trusted list, de intrekkingsstatus wordt gecontroleerd via statusinformatie van de uitgever, en de wallet unit attestation bevestigt dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.
Wanneer een gebruiker een attestatie wil delen, bijvoorbeeld om een bankrekening te openen of toegang te krijgen tot een overheidsdienst, selecteert hij deze uit zijn EUDI-wallet en geeft hij goedkeuring voor het delen. De relying party valideert vervolgens de attestatie aan de hand van de nationale trusted list en de statusinformatie van de uitgever. Dit proces verloopt in seconden en vereist geen telefoontje naar de uitgevende instantie of een handmatige documentcontrole, maar is voor een volledige validatie niet volledig losgekoppeld van externe bronnen.
Deze architectuur is gebouwd op technische standaarden die zijn uitgewerkt in het Architecture and Reference Framework (ARF). Voor credentialformaten worden mdoc en SD-JWT VC gebruikt. Voor de uitgifte van attestaties wordt het OID4VCI-protocol gehanteerd, voor de presentatie OID4VP. Voor proximity-presentatie van mdoc geldt ISO/IEC 18013-5, voor online presentatie ISO/IEC TS 18013-7. De grootschalige pilotprojecten die van april 2023 tot 2025 liepen, hebben deze stromen getest in praktijkscenario’s, van inchecken op luchthavens tot receptaanvragen.
Welke soorten attestaties ondersteunt de EUDI-wallet?
De EUDI-wallet is ontworpen om een breed scala aan attestaties te ondersteunen, zowel voor persoonlijke identiteit als voor domeinspecifieke documenten. De wallet kan attestaties bevatten die variëren van door de overheid uitgegeven identiteitsattributen tot beroepskwalificaties, reisdocumenten en financiële attestaties, mits ze zijn uitgegeven door een erkende autoriteit binnen het vertrouwenskader.
Op basis van de use cases die zijn getest in de grootschalige pilotprojecten behoren de volgende typen tot de attestaties die de EUDI-wallet zal ondersteunen:
- Identiteitsattestaties: Nationale identiteitsattributen zoals naam, geboortedatum en nationaliteit, afgeleid van officiële overheidsregisters en vastgelegd in de Person Identification Data (PID)
- Mobiel rijbewijs: Een digitale versie van je rijbewijs die zowel online als bij fysieke controles langs de weg bruikbaar is
- Onderwijsattestaties: Diploma’s, graden en certificaten uitgegeven door erkende onderwijsinstellingen
- Zorgattestaties: Receptgegevens en de Europese Ziekteverzekeringskaart
- Reisattestaties: Digital Travel Credentials die zijn gepiloteerd voor gebruik bij grenscontrole en luchthavenbeveiliging, maar die nog niet als algemeen operationele EUDI-walletfunctionaliteit beschikbaar zijn
- Organisatieattestaties: Bewijs dat je een gemachtigde vertegenwoordiger bent van een bedrijf of instelling
- Betalingsgerelateerde attestaties: Identiteitsverificatie gekoppeld aan financiële transacties en het openen van bankrekeningen
Deze breedte weerspiegelt de ambitie achter Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt: één veilige wallet die de gefragmenteerde mix van wachtwoorden, papieren documenten en geïsoleerde digitale accounts vervangt waarmee Europeanen momenteel dagelijks te maken hebben.
Wat is het verschil tussen een attestatie en een traditioneel digitaal document?
Het belangrijkste verschil is dat een attestatie cryptografisch bewijs van zijn authenticiteit bevat, terwijl een traditioneel digitaal document zoals een PDF of gescande afbeelding dat niet doet. Iedereen kan een PDF kopiëren of wijzigen. Een attestatie bevat daarentegen een digitale handtekening die manipulatie detecteerbaar maakt en elke relying party in staat stelt de herkomst te verifiëren zonder de uitgever te bellen, mits de intrekkingsstatus en de wallet unit attestation via externe bronnen worden gecontroleerd.
Traditionele digitale documenten vereisen ook dat de ontvangende partij handmatige controles uitvoert, databases raadpleegt of de afzender op zijn woord vertrouwt. Een attestatie maakt die verificatie geautomatiseerd en cryptografisch aantoonbaar, al blijft voor een volledige validatie, zoals de controle van de intrekkingsstatus, contact met externe bronnen noodzakelijk.
Er is ook een fundamenteel verschil in hoe gegevens worden verwerkt. Een traditioneel document deelt doorgaans alles wat het bevat, al dan niet relevant. Een attestatie ondersteunt selective disclosure, wat betekent dat de houder alleen de specifieke attributen kan delen die nodig zijn voor een bepaalde interactie. Om te bewijzen dat je ouder bent dan 18, hoef je je exacte geboortedatum, je adres of enig ander persoonlijk gegeven niet prijs te geven. Dit is een structureel privacyvoordeel dat papieren en PDF-documenten simpelweg niet kunnen repliceren.
Wie geeft attestaties uit in het EUDI-wallet-ecosysteem?
Attestaties in het EUDI-wallet-ecosysteem worden uitgegeven door vertrouwde entiteiten die formeel zijn erkend binnen het vertrouwenskader van Verordening (EU) 2024/1183. Deze uitgevers kunnen overheidsinstanties zijn, zoals nationale identiteitsagentschappen of zorgtoezichthouders, maar ook private organisaties die voldoen aan de wettelijke vereisten om op te treden als erkende attestatieproviders.
Verordening (EU) 2024/1183 stelt een gelaagd vertrouwensmodel in. Aan de basis staan de lidstaten, die verantwoordelijk zijn voor het uitgeven van de kernidentiteitsattestatie, de Person Identification Data (PID), die de wallet van een gebruiker koppelt aan zijn geverifieerde wettelijke identiteit. Bovenop deze basis kunnen sectorspecifieke uitgevers Qualified Electronic Attestations of Attributes (QEAAs), Public Body Electronic Attestations of Attributes (PuB-EAAs) of niet-gekwalificeerde attestaties verstrekken, afhankelijk van het vereiste zekerheidsniveau. PuB-EAAs vormen een afzonderlijke categorie en vallen niet onder niet-gekwalificeerde attestaties.
In de praktijk betekent dit dat een universiteit een diplomaattestatie kan uitgeven, een ziekenhuis een receptattestatie kan uitgeven, en een financiële instelling attestaties kan uitgeven met betrekking tot rekeningsstatus of KYC-verificatie. Elke uitgever moet worden opgenomen in de relevante nationale trusted list, zodat relying parties de legitimiteit van de uitgever kunnen bevestigen via de EU List of Trusted Lists (LOTL). Deze op trusted lists gebaseerde aanpak, conform ETSI TS 119 612, is wat het hele systeem schaalbaar en interoperabel maakt over de EU-lidstaten heen.
Hoe beschermen attestaties de privacy in de EUDI-wallet?
Attestaties beschermen de privacy door een combinatie van selective disclosure, minimale gegevensdeling en goedkeuring door de gebruiker. In plaats van een volledig document over te dragen, kies je precies welke attributen je wilt delen voor elke specifieke interactie. De EUDI-wallet is zo ontworpen dat er niets wordt gedeeld zonder jouw uitdrukkelijke goedkeuring, en alleen de gegevens die strikt noodzakelijk zijn voor de transactie worden verzonden.
Dit ontwerp pakt een van de grootste zwakke punten van huidige identiteitssystemen direct aan: overmatig delen. Wanneer je een fysieke identiteitskaart toont om je leeftijd te bewijzen, onthul je ook je volledige naam, adres en geboortedatum, ook al is alleen je leeftijd relevant. Attestaties lossen dit op door de wallet in staat te stellen één bevestigd attribuut te presenteren, zoals “deze persoon is ouder dan 18”, zonder aanvullende persoonlijke informatie prijs te geven.
Het EUDI-wallet-framework biedt ook technische mogelijkheden om wat bekend staat als cross-context tracking te beperken. De cryptografische mechanismen die worden gebruikt bij de presentatie van attestaties kunnen worden ontworpen om koppelbaarheid te vermijden, zodat een relying party jouw identiteit niet eenvoudig kan correleren over verschillende diensten of transacties. Walletgebruik is vrijwillig: artikel 5a van Verordening (EU) 2024/1183 beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken.
Belangrijk om te onderscheiden: de goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan. Organisaties die attestaties accepteren, profiteren er wel van dat ze structureel minder gegevens ontvangen dan bij traditionele documentcontroles, wat hun eigen compliancerisico verlaagt.
Wat betekent de adoptie van attestaties voor organisaties?
Voor organisaties betekent het adopteren van attestaties het vervangen van trage, handmatige identiteitsverificatieprocessen door geautomatiseerde, cryptografisch aantoonbare controles. Het betekent ook dat jouw systemen worden voorbereid om attestaties van de EUDI-wallet te accepteren als een erkende en juridisch geldige vorm van identiteitsbewijs onder Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt. Afhankelijk van jouw sector en rol is dit niet altijd optioneel: publieke instanties moeten genotificeerde EUDI-wallets uiterlijk op 24 december 2026 accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten, waar sterke gebruikersauthenticatie wettelijk of contractueel verplicht is, geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd.
De praktische implicaties variëren per rol. Organisaties kunnen optreden als relying party, uitgever of beide. Als relying party moet je je registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848 van 6 mei 2025 voordat je walletdata kunt opvragen. Bij die registratie leg je per intended use vast welke attributen en attestaties je opvraagt. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor je registratie. Een leverancier die walletdata technisch namens jou verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Voor het accepteren van attestaties uit de EUDI-wallet heb je geen QTSP nodig; een QTSP wordt pas relevant bij bijvoorbeeld gekwalificeerd tekenen of het uitgeven van QEAAs. Als uitgever moet je attestaties produceren in het juiste technische formaat, mdoc of SD-JWT VC, ze ondertekenen met een erkende sleutel, en je laten opnemen in de relevante nationale trusted list.
De transitie creëert ook echte bedrijfswaarde buiten compliance. Geautomatiseerde attestatieverificatie vermindert onboardingfrictie, verlaagt de operationele kosten die gepaard gaan met handmatige documentcontroles en verlaagt het risico op identiteitsfraude. Organisaties in de financiële dienstverlening kunnen aanzienlijk profiteren, gezien het volume aan identiteitsverificaties dat ze momenteel uitvoeren voor KYC en het openen van rekeningen. Evenzo kunnen zorgorganisaties de identificatie van patiënten en de verwerking van recepten stroomlijnen via wallet-gebaseerde attestaties.
De tijdlijn is ook belangrijk. De deadline van 24 december 2026 verplicht lidstaten om gecertificeerde EUDI-wallets beschikbaar te stellen aan burgers, inwoners en bedrijven, en publieke instanties moeten deze wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in de relevante sectoren volgt de acceptatieplicht onder artikel 5f op 24 december 2027. Organisaties die nu beginnen met integreren, zijn beter gepositioneerd dan degenen die wachten tot de deadlines naderen.
Voor overheidsorganisaties zijn de belangen nog hoger, omdat zij zowel grote uitgevers als grote relying parties zijn binnen het ecosysteem, waardoor vroege afstemming op de technische en wettelijke normen essentieel is.
Hoe helpt TrustTech organisaties zich voor te bereiden op attestaties in de EUDI-wallet
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt de technische taken die bij walletverificatie komen kijken: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, validatie van de wallet unit attestation en bewaking van de geregistreerde attributenscope per intended use. Zo wordt voorkomen dat een verzoek buiten de geregistreerde scope wordt ingediend. Daarnaast ondersteunt de ID Connector het hergebruik van geverifieerde identiteitsdata en, via een aangesloten QTSP, gekwalificeerd tekenen.
Voor organisaties in financiële dienstverlening, zorg, farmacie en de publieke sector, waar de deadlines van 24 december 2026 en 24 december 2027 directe operationele gevolgen hebben, biedt de ID Connector een technisch fundament dat aansluit op de vereisten van Verordening (EU) 2024/1183 en CIR (EU) 2025/848. Verken onze digitale identiteitsoplossingen of lees meer over hoe we werken met organisaties aan digitale identiteitstransities. Klaar voor de volgende stap? Neem contact op met TrustTech en ontdek wat de ID Connector voor jouw organisatie kan betekenen.