De toekomst van digitale identiteit na eIDAS 2.0 is er een van grotere interoperabiliteit, gebruikerscontrole en een vertrouwensinfrastructuur die werkt over grenzen en sectoren heen. Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, en de Europese Digitale Identiteitswallet (EUDI-wallet) zijn het fundament. Wat daarna komt, is een bredere verschuiving in de manier waarop organisaties, overheden en individuen geverifieerde gegevens uitwisselen in een wereld waar digitaal vertrouwen net zo fundamenteel wordt als fysieke identificatie. Dit artikel behandelt de belangrijkste vragen die die toekomst vormgeven.
Wat komt er na eIDAS 2.0 op het gebied van digitale identiteit?
Na eIDAS 2.0 zal het digitale identiteitslandschap verschuiven van naleving van regelgeving naar volwassenheid van het ecosysteem. De EUDI-wallet geeft elke EU-burger en -inwoner een gestandaardiseerde manier om te bewijzen wie zij zijn, maar de echte transformatie vindt plaats wanneer organisaties diensten bouwen op die infrastructuur en wanneer grensoverschrijdende identiteitsuitwisseling vanzelfsprekend wordt.
Verordening (EU) 2024/1183 stelt de juridische en technische basis vast. De verordening trad op 20 mei 2024 in werking. Eind 2024 werden de eerste uitvoeringshandelingen aangenomen, waaronder technische specificaties, beveiligingsstandaarden en interoperabiliteitsregels voor de EUDI-wallet. Deze uitvoeringshandelingen starten de relevante 24-maandentermijn voor wallet-uitgifte. In 2025 volgde een tweede golf uitvoeringshandelingen, onder andere over gekwalificeerde elektronische archivering, validatie en gekwalificeerde vertrouwensdienstverleners. Op 6 mei 2025 trad CIR (EU) 2025/848 in werking, dat de registratie van wallet-relying parties regelt. De verordening verplicht alle EU-lidstaten om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf diezelfde datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Regelgeving alleen creëert geen functionerend ecosysteem. Dat vereist dat organisaties wallet-compatibele diensten integreren, dat relying parties geverifieerde attestaties accepteren en dat gebruikers echte meerwaarde ervaren van het digitaal dragen van hun identiteit.
Wat eIDAS 2.0 opvolgt, is een rijpingsfase. Verwacht een bredere adoptie van attestaties in verschillende sectoren, toenemende interoperabiliteit tussen nationale wallet-implementaties en een groeiende vraag naar identiteitsoplossingen die betrekking hebben op beroepskwalificaties, zorgdossiers, onderwijsattestaties en organisatorische identiteit. Het werk van het NOBID-consortium aan grensoverschrijdende betalingsuse cases is een vroeg voorbeeld van hoe wallet-gebaseerde identiteit zich uitbreidt naar nieuwe domeinen.
Hoe zullen attestaties en verifieerbare gegevens digitale vertrouwensecosystemen hervormen?
Attestaties zullen de manier waarop digitaal vertrouwen werkt veranderen door identiteitsgegevens overdraagbaar, cryptografisch beveiligd en herbruikbaar te maken voor organisaties. In plaats van dat elke organisatie haar eigen verificatieproces van nul af aan uitvoert, kan een persoon of bedrijf een attestatie dragen die is uitgegeven door een vertrouwde autoriteit en deze presenteren waar nodig, zonder dat de uitgever bij elke transactie betrokken hoeft te zijn.
Dit is relevant voor organisaties die momenteel dezelfde controles herhalen. Een klant die al een KYC-proces heeft doorlopen bij zijn bank, zijn identiteit heeft geverifieerd bij zijn werkgever, of een kwalificatie heeft ontvangen van een universiteit, zou die zaken niet opnieuw hoeven te bewijzen elke keer dat hij met een nieuwe dienst communiceert. Het model waarbij gegevens eenmalig worden geverifieerd en vervolgens hergebruikt waar toegestaan, wordt technisch mogelijk gemaakt door attestaties in de EUDI-wallet. Hergebruik van KYC-gegevens wordt echter ook bepaald door AML-regelgeving en sectorale regels. De wallet faciliteert het transport van geverifieerde gegevens; de juridische grondslag voor hergebruik volgt uit die sectorale kaders.
Het vertrouwensecosysteem dat is gebouwd op attestaties kent drie sleutelrollen:
- Uitgevers — organisaties die attestaties aanmaken en ondertekenen, zoals overheden, banken, universiteiten of werkgevers
- Houders — individuen of organisaties die attestaties opslaan in een wallet unit en beslissen wanneer ze deze delen via selective disclosure
- Relying parties — organisaties die attestaties opvragen en verifiëren zonder voor elke transactie contact te hoeven opnemen met de oorspronkelijke uitgever
Verificatie door een relying party omvat meer dan het controleren van een cryptografische handtekening. Een volledige verificatie bestaat uit drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list (conform ETSI TS 119 612, gepubliceerd via de EU List of Trusted Lists), controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.
Deze architectuur vermindert wrijving, verlaagt nalevingskosten en geeft gebruikers controle over hun eigen gegevens. Voor organisaties in gereguleerde sectoren biedt het ook een beter verdedigbaar auditspoor. Elke attestatie bevat een cryptografisch bewijs van wie deze heeft uitgegeven en wanneer, waardoor latere wijzigingen detecteerbaar zijn.
Welke rol zal AI spelen in de toekomst van digitale identiteit?
AI speelt een toenemende rol in digitale identiteit, met name op het gebied van fraudedetectie en het toegankelijker maken van verificatieprocessen. De combinatie van AI-gedreven analyse met cryptografisch geverifieerde attestaties creëert een sterkere basis voor vertrouwen dan beide benaderingen afzonderlijk leveren.
Op het gebied van fraudepreventie kan AI afwijkingen in gedragspatronen detecteren, verdachte onboardingpogingen markeren en synthetische identiteiten identificeren die traditionele documentcontroles zouden doorstaan. Levendigheidsdetectie, al gebruikt bij biometrische verificatie, is sterk afhankelijk van AI om echte personen te onderscheiden van spoofingpogingen met foto’s of video. Biometrische verificatie die uitsluitend bevestigt dat iemand is wie hij beweert te zijn, valt niet automatisch onder de hoog-risicocategorie voor biometrie uit bijlage III, punt 1 van de EU AI Act. Toepassingen die wél binnen een relevante categorie van bijlage I of III vallen, zijn onderworpen aan het hoog-risicoregime. Voor biometrische persoonsgegevens geldt daarnaast artikel 9 AVG.
AI speelt ook een rol bij het toegankelijker en minder belastend maken van identiteitsverificatie voor gebruikers. Intelligente systemen kunnen gebruikers begeleiden door onboardingprocessen, automatisch informatie uit documenten extraheren en valideren, en het aantal vereiste handmatige stappen verminderen. Dit pakt een van de hardnekkigste problemen in digitale identiteit aan: het afbreken tijdens verificatieprocessen omdat de ervaring te traag of te complex is.
Naarmate AI wordt ingebed in identiteitsbeslissingen, zoals het beoordelen van kredietwaardigheid, het verifiëren van beroepskwalificaties of het detecteren van fraude, moeten organisaties ervoor zorgen dat die beslissingen uitlegbaar, controleerbaar en in overeenstemming blijven met zowel identiteitsregelgeving als de EU AI Act. Transparantieverplichtingen uit artikel 50 van de AI Act zijn daarbij relevant wanneer een systeem met personen interacteert.
Hoe zal digitale identiteit zich ontwikkelen in verschillende sectoren?
Digitale identiteit zal zich per sector anders ontwikkelen, afhankelijk van de regelgevingsomgeving, de aard van de betrokken vertrouwensrelaties en hoe snel wallet-gebaseerde infrastructuur wordt geadopteerd. De richting is consistent: elke sector beweegt naar meer gestandaardiseerde, interoperabele en gebruikersgestuurde identiteitskaders.
Financiële dienstverlening en bankwezen
Financiële dienstverleners staan voor veeleisende identiteitsvereisten, waarbij KYC-, AML- en PSD2-verplichtingen worden gecombineerd met toenemende druk vanuit eIDAS 2.0. Banken en financiële instellingen behoren tot de gereguleerde private partijen die op grond van artikel 5f van de verordening verplicht zijn de EUDI-wallet te accepteren wanneer sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Deze verplichting gaat in op 24 december 2027. Daarnaast stuurt het nieuwe AML-raamwerk richting juli 2027 aan op identiteitsverificatie via onder andere genotificeerde schema’s, de EUDI-wallet en gekwalificeerde vertrouwensdiensten. Hergebruik van KYC-gegevens via wallet-attestaties is technisch mogelijk, maar wordt ook bepaald door de toepasselijke AML-regelgeving en sectorale regels. De uitzondering voor micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen, is van toepassing op de private acceptatieplicht. Organisaties die digitale identiteit voor financiële dienstverlening vroeg in hun infrastructuur opnemen, kunnen een voordeel behalen in onboardingsnelheid en nalevingsefficiëntie.
Gezondheidszorg en farmacie
In de gezondheidszorg maakt digitale identiteit veilige patiënttoestemming, receptbeheer en grensoverschrijdende uitwisseling van gezondheidsgegevens mogelijk. De ondersteuning van de EUDI-wallet voor de Europese Ziekteverzekeringskaart is een vroeg voorbeeld, gepiloteerd binnen het POTENTIAL-consortium. Zorginstellingen behoren eveneens tot de gereguleerde private sectoren waarvoor de acceptatieplicht op grond van artikel 5f ingaat op 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor gezondheidsgegevens geldt naast een AVG-grondslag uit artikel 6 ook een toepasselijke grond uit artikel 9, lid 2 AVG. Goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a AVG. Organisaties die identiteitsoplossingen voor de gezondheidszorg verkennen, moeten strenge gegevensbeschermingsvereisten in balans brengen met bruikbaarheid voor patiënten en zorgverleners.
Overheid en publieke diensten
Overheden zijn zowel uitgevers als relying parties in het digitale identiteitsecosysteem. Ze geven fundamentele attestaties uit, zoals nationale identiteitsbewijzen, rijbewijzen en socialezekerheidsinformatie, en ze accepteren ook attestaties wanneer burgers toegang krijgen tot publieke diensten. Publieke instanties zijn verplicht genotificeerde wallets te accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is, vanaf 24 december 2026. De verschuiving naar wallet-gebaseerde identiteit vereenvoudigt burgerinteracties en vermindert tegelijkertijd de administratieve last voor overheidssystemen. Oplossingen voor digitale identiteit voor de overheid moeten prioriteit geven aan toegankelijkheid, inclusiviteit en langetermijninteroperabiliteit.
Wat is het verschil tussen gefedereerde identiteit en zelf-soevereine identiteit?
Gefedereerde identiteit en zelf-soevereine identiteit (SSI) verschillen voornamelijk in wie de identiteitsgegevens beheert en hoe vertrouwen wordt gevestigd. In een gefedereerd model authenticeert een centrale identiteitsprovider, zoals een overheidsportaal, een groot platform of een werkgever, gebruikers namens andere diensten. In een SSI-model houdt het individu zijn eigen attestaties bij en deelt ze rechtstreeks, zonder voor elke transactie te vertrouwen op een centrale tussenpersoon.
Gefedereerde identiteitssystemen, zoals die gebouwd op SAML of OpenID Connect, zijn al vele jaren de dominante aanpak. Ze werken goed binnen gecontroleerde ecosystemen, maar creëren afhankelijkheid van de identiteitsprovider en kunnen privacyrisico’s introduceren wanneer die provider kan bijhouden waar een gebruiker zich authenticeert.
SSI keert dat model om. De gebruiker houdt cryptografisch ondertekende attestaties in een wallet unit, presenteert ze rechtstreeks aan relying parties via selective disclosure, en de uitgever is niet betrokken bij de transactie. Dit beschermt de privacy, vermindert afhankelijkheid van één enkele organisatie en sluit aan bij de principes achter de EUDI-wallet. De EUDI-wallet deelt elementen met SSI-benaderingen, maar is geen puur SSI-systeem: de governance is centraal georganiseerd via nationale trusted lists, door de staat aangewezen PID-uitgevers en nationale registratie van relying parties. Privésleutels van PID en attestaties kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties opnieuw uitgegeven in plaats van gekopieerd.
In de praktijk zal de toekomst van digitale identiteit geen scherpe keuze zijn tussen de twee. Veel systemen zullen elementen van beide combineren: gefedereerde benaderingen voor interne bedrijfsidentiteit en SSI-gebaseerde modellen voor burger- en grensoverschrijdende use cases. Het belangrijkste onderscheid dat organisaties moeten begrijpen, is het verschil in vertrouwensarchitectuur: gecentraliseerd vertrouwen tegenover gedistribueerd vertrouwen geworteld in cryptografische bewijzen en nationale trusted lists.
Moeten organisaties zich nu al voorbereiden op post-eIDAS identiteitswijzigingen?
Organisaties moeten nu beginnen met voorbereiden, omdat de onderliggende veranderingen in de digitale identiteitsinfrastructuur tijd kosten om correct te implementeren. De organisaties die de komende jaren het best gepositioneerd zullen zijn, zijn degenen die vandaag beginnen met het afstemmen van hun systemen, processen en nalevingskaders, in plaats van te wachten tot regelgevingsdruk reactieve verandering afdwingt.
Er zijn verschillende praktische redenen om vroeg actie te ondernemen:
- Integratiecomplexiteit: Het verbinden van bestaande systemen met wallet-compatibele identiteitsinfrastructuur vereist architecturale beslissingen die niet van de ene op de andere dag kunnen worden genomen. Hoe eerder een organisatie begrijpt welke wijzigingen nodig zijn, hoe meer controle ze heeft over de implementatietijdlijn.
- Concurrentievoordeel: Snellere, soepelere onboarding is een echte onderscheidende factor. Organisaties die overbodige verificatiestappen elimineren en klantwrijving verminderen, zullen meetbare verbeteringen zien in conversie en retentie.
- Regelgevingsstapeling: eIDAS 2.0 bestaat niet op zichzelf. Het nieuwe AML-raamwerk dat richting juli 2027 van toepassing wordt, de AVG, PSD2 en sectorspecifieke regelgeving werken allemaal samen met digitale identiteitsvereisten. Een coherent nalevingskader nu opbouwen voorkomt kostbare aanpassingen achteraf.
- Registratieplicht voor relying parties: Onder CIR (EU) 2025/848 moet een relying party zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use worden daarbij de attributen en attestaties vastgelegd die worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Vroeg beginnen geeft ruimte om deze registratie zorgvuldig voor te bereiden.
Een realistisch startpunt is een gestructureerde beoordeling van huidige identiteitsprocessen, een evaluatie van hoe bestaande systemen aansluiten bij EUDI-wallet-vereisten en een duidelijk begrip van welke use cases de meest directe waarde bieden. Het verkennen van de beschikbare digitale identiteitsresources is een praktische eerste stap naar het opbouwen van dat begrip.
Hoe de ID Connector van TrustTech aansluit op de toekomst van digitale identiteit
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector ondersteunt concreet de volgende technische taken:
- Verificatie van uitgevershandtekeningen tegen de relevante nationale trusted lists via de EU List of Trusted Lists
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope conform CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata voor onboarding, authenticatie en kwalificatiecontroles
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde vertrouwensdienstverlener, waarbij de QES tot stand komt bij die QTSP
De ID Connector is relevant voor financiële dienstverleners die zich voorbereiden op de private acceptatieplicht per 24 december 2027, voor zorginstellingen die veilige patiëntidentificatie en e-recepten willen ondersteunen, en voor overheden die genotificeerde wallets moeten accepteren vanaf 24 december 2026.
Als jouw organisatie klaar is om de volgende stap te zetten naar toekomstbestendige digitale identiteit, neem dan contact op met TrustTech om te verkennen hoe de ID Connector aansluit op jouw situatie.